sou · H4B341 · 2016-06-07 00:00:00 — Med ära avses dels den aktning eller det anseende en person har bland sina medmänniskor, dels en persons egen känsla av att vara aktad eller ansedd. Förslagen i betänkandet Ett modernt och starkt straffrättsligt skydd för den personliga integriteten41syftar till att göra dessa bestämmelser skarpare och lättare att tillämpa. Den som olovligen bereder sig tillgång till upptagning för automa- tisk databehandling eller olovligen ändrar eller utplånar eller i regis- ter för in sådan upptagning ska enligt 4 kap. 9 c § dömas för dataintrång till böter eller fängelse i högst . Bestämmelsen är t.ex. tillämplig då någon använder sig av sin be- hörighet till åtkomst till ett elektroniskt journalsystem för att läsa uppgifter om en patient utan att detta behövs från arbetssynpunkt, t.ex. på grund av nyfikenhet. Bestämmelsen är också tillämplig på intrång och sabotage genom av olika typer av datavirus eller trojaner. I 49 § personuppgiftslagen föreskrivs straffansvar för den som upp- såtligen eller av grov oaktsamhet lämnar osann uppgift i information till registrerad eller till tillsynsmyndigheten, behandlar känsliga per- sonuppgifter eller uppgifter om lagöverträdelser i strid med 13–21 §§ eller 5 a § andra stycket, brister i sin anmälningsskyldighet eller över- träder förbudet mot överföring av personuppgifter till tredje land. Den som befunnits skyldig till något sådant brott ska dömas till bö- ter eller fängelse eller, om brottet är grovt, till fängelse i högst . När det gäller bestämmelsen om straff anförde regeringen i förar- betena till personuppgiftslagen42 att de huvudsakliga sanktionerna mot de personuppgiftsansvariga som inte följer den nya lagen skulle 41 SOU 2016:7. 42 Regeringens proposition Personuppgiftslag, prop. 1997/98:44 s. 108 f. Vilket skydd erbjuder samhället den enskilde? vara skadestånd och vite. Dessa sanktioner för brott mot lagen fick anses effektiva och i stort sett tillräckliga. Det fanns dock även be- hov av att kriminalisera vissa olagliga åtgärder. När personuppgiftslagen infördes omfattade straffbestämmelsen även överträdelser som begicks av oaktsamhet utan att de var grova. Genom lagändringar avkriminaliserades oaktsamhet av nor- malgraden. I förarbetena anfördes som skäl bl.a. att utvecklingen hade gått mot att straff inte är en nödvändig reaktion på överträdel- ser av personuppgiftslagen eller anslutande registerförfattningar.43 Även i lagen om elektronisk kommunikation finns straffbestäm- melser. Av förarbetena44 kan utläsas att straff kan följa endast i den mån behandlingen inte är straffbelagd enligt aktuella bestämmelser i , som till exempel brytande av post- eller telehemlighet och dataintrång. Straffbestämmelser med fokus främst på myndighetsområdet Personuppgiftslagens straffbestämmelse gäller också för anställda på myndigheter. För dessa personer gäller även andra straffrättsliga bestämmelser . Ett brott inom myndighetsområdet som leder till en kränkning och som kan föranleda skadeståndsansvar enligt 2 kap. 3 § skadeståndslagen är tjänstefel enligt 20 kap. 1 § . När det gäller andra brott som kan ha samband med en otillåten hantering av personuppgifter kan även brott mot tystnadsplikt enligt 20 kap. 3 § komma i fråga. Detsamma gäller brottet dataintrång. I sammanhanget kan också nämnas bestämmelserna om disciplin- ansvar i lagen (1994:260) om offentlig anställning. Enligt dessa bestämmelser kan en arbetstagare meddelas disciplinpåföljd för tjänsteförseelse i form av varning eller löneavdrag. För detta gäller dock vissa förutsättningar, bl.a. att den misstänkta gärningen inte ska anmälas till åtal eller, om gärningen prövats i straffrättslig ordning, inte har ansetts vara något brott på grund av någon annan anledning än bristande bevisning. 43 Regeringens proposition Översyn av personuppgiftslagen, prop. 2005/06:173 s. 48. 44 Regeringens proposition Lag om elektronisk kommunikation, prop. 2002/03:110, s. 400–401. Vilket skydd erbjuder samhället den enskilde? Genom Arbetsdomstolens praxis har bl.a. prövats frågan om disciplinansvar för en handläggare som gjort obehöriga sökningar i datasystem.45 registrerades totalt 363 anmälda brott mot personupp- giftslagen, vilket kan jämföras med exempelvis 12 731 anmälda äre- kränkningsbrott under samma år.46 Motsvarande siffor för var 359 anmälningar om brott mot personuppgiftslagen och 13 084 ärekränkningsbrott. avgjordes 32 mål om ärekränk- ning och 4 mål om brott mot personuppgiftslagen genom domslut, strafföreläggande eller åtalsunderlåtelse.47 Detta år anmäldes 8 200 ärenden om dataintrång48, medan endast 108 ärenden avgjordes. Enligt uppgift från Datainspektionen har myndigheten polisan- mält brott mot personuppgiftslagen 18 gånger . Datainspektionen har , efter begäran från polis eller åkla- gare, bistått med yttranden i åtta ärenden där brott mot personupp- giftslagen utretts och som gällt publicering av personuppgifter på internet. Polisanmälningar gällande olaga hot samt förtal på Facebook har enligt en artikel i legat på runt 4 000 . Av de polisanmälningar som gäller olaga hot och förtal och som innehållit ordet Facebook har enligt samma tidningsupp gifter gått vidare till åklagare. 45 AD 2005:82. 46 Brås rapport 2015:6, Polisanmälda hot och kränkningar mot enskilda personer via internet, s. 102. 47 Statistiken är hämtad från . anmäldes 420 brott mot personuppgiftslagen och 11 326 ärekränkningsbrott, anmäldes 236 brott mot person- uppgiftslagen och 11 508 ärekränkningsbrott, och anmäldes 385 brott mot personupp- giftslagen och 12 838 ärekränkningsbrott. 48 Det preliminära antalet anmälda dataintrång utgör 6 580. 49 , Hatet på Facebook når inte domstol: ”Måste bli bättre”, publicerat på . Vilket skydd erbjuder samhället den enskilde? (Brå) fick i uppdrag av regeringen att genomföra en kartläggning av polisanmälda hot och kränkningar riktade mot enskilda personer via internet. I en rapport år 201550 redovisades resultatet. Brå beskriver ett urval av de polisanmälda brotten, med särskilt fokus på skillnader mellan könen. Brå redovisar också i vilken omfattning de aktuella brotten lett till åtal och lag föring samt analyserar de skäl som finns till att ärenden läggs ner. I rapporten beskrivs vidare vilka problem som uppstår i rättsväsendets arbete med att utreda och lagföra de aktuella brotten. Brå ger också förslag på åtgärder mot dessa problem. Brå bedömer till exempel att polis och åklagare kan bli bättre på att använda personuppgiftslagen för att kunna lagföra kränkningar via internet. Det kräver enligt Brå att kunskapen om hur lagen kan användas på detta sätt höjs bland rättsväsendets aktörer. Flera av de händelser som i Brås material rubricerats som förtal eller ofredande borde enligt Brå även ha kun- nat utgöra brott mot personuppgiftslagen. Det handlar exempelvis om ärenden där flickor har blivit uthängda på nätet med identifier- bara nakenbilder och påståenden om deras sexualliv eller ärenden där domar har lagts ut offentligt på nätet. granskade it-relaterad brottslighet år 2015.51 Riks- revisionen anför i rapporten att vissa typer av dataintrång och bedrä- gerier som begås via internet i stort sett inte utreds alls. Möjligheten att nå framgång i sådana ärenden är i stort sett obefintlig . Riks- revisionen konstaterar att det finns brottstyper där polis och åklagare med gällande lagstiftning och arbetssätt i stort sett saknar förutsätt- ningar att vidta utredningsåtgärder. Sammanfattningsvis anser Riks- revisionen att både polis och åklagare behöver utveckla sina metoder och sin kompetens inom området. Kommittén anser att tillsynen är ett viktigt verktyg för att åstad- komma följsamhet och respekt för gällande rätt. Detta är särskilt angeläget inom områden, där förändringstakten är hög och lagstifta- 50 Polisanmälda hot och kränkningar mot enskilda personer via internet, Rapport 2015:6. 51 It-relaterad brottslighet – polis och åklagare kan bli effektivare, RiR 2015:21. Vilket skydd erbjuder samhället den enskilde? ren valt en metodik för lagstiftningen, som mer eller mindre förut- sätter att rättsvårdande myndigheter klargör lagbestämmelserna genom att fatta rättsliga beslut i konkreta fall. Kommittén bedömer att omfattning av tillsynen inom området inte är tillräckligt stor för att säkerställa skyddet för behandlade personuppgifter på ett önsk- värt sätt. Kommittén bedömer att de olika formerna av ekonomisk kom- pensation som finns, inte används i sådan omfattning som vore önsk- värt för att skydda och kompensera enskilda för kränkningar av den personliga integriteten. Företag, myndigheter eller enskilda perso- ner som begår ett otillåtet intrång i andras personliga integritet, löper mycket liten risk för att behöva ersätta den skadelidande för intrånget. Vi anser också att de belopp som betalas ut ofta är låga. Inflytandet över hur personuppgifterna hanteras har förskjutits från den enskilde till de personuppgiftsansvariga och från de person- uppgiftsansvariga till tjänsteleverantörerna, som ofta kan vara globala företag. För den enskilde innebär det bl.a. att det kan vara komplice- rat att ta reda på vart man ska rikta ett anspråk på kompensation för en kränkning av den personliga integriteten. Vidare kan den splittrade tillsynen på området leda till oklarhet för den enskilde, beträffande vilken myndighet han eller hon ska vända sig till med klagomål. Därtill avhåller sig enskilda från att driva skadeståndsärenden på grund av att den ekonomiska risken är stor. Åklagare driver sällan frågan om skadestånd, ens när de har rättsliga möjligheter att göra det. Det ingår inte heller i Datainspektionens uppdrag att bistå enskilda i mål om skadestånd vid allmän domstol. Kommitténs bedömning är att de straffrättsliga sanktionerna inte heller används i sådan omfattning som vore önskvärt för att kom- pensera enskilda för kränkningar av den personliga integriteten. Den som begår ett otillåtet intrång i andras personliga integritet, löper mycket liten risk att råka ut för någon straffrättslig sanktion. Detta, i kombination med låga straffsatser och att de bakomliggande regel- verken (bl.a. personuppgiftslagen och registerförfattningarna) är relativt komplicerade, minskar den enskildes möjlighet att få till stånd lagföring eller att framställa anspråk på skadestånd. Internet relaterad brottslighet ställer krav på både specialistkompetens och tillräckliga resurser hos Polis och åklagare. Vilket skydd erbjuder samhället den enskilde? Sammantaget bedömer kommittén därför att de skadestånds- rättsliga och straffrättsliga sanktionssystemen inte har fått den kom- pensatoriska eller preventiva effekt som lagstiftaren eftersträvat. 24Förslag om ökad information till regering och riksdag Kommitténs förslag: Datainspektionens uppdrag att följa och beskriva utvecklingen på it-området när det gäller frågor som rör personlig integritet och ny teknik ska utvidgas till att även om- fatta de legala förutsättningarna för integritetsskyddet, samt till att omfatta en analys av utvecklingen. Datainspektionen ska också till regeringen lämna en redovisning om utveck- lingen inom området. Regeringen ska i en årlig skrivelse till informera om utvecklingen och det aktuella tillståndet när det gäller frågor som rör personlig integritet, informationsteknik och de legala förut- sättningarna för integritetsskyddet. har i uppdrag att – med beaktande av samhälls- och teknikutvecklingen i stort och mot bakgrund av slutsatserna av sitt kartläggnings- och analysuppdrag – följa upp Integritetskydds kommitténs slutbetänkande1 när det gäller behovet av att inrätta ett integritetsskyddsråd. Vi ska särskilt överväga om de uppgifter som ett sådant råd i så fall bör ges lämpligen kan fullgöras av en befintlig myndighet samt föreslå nödvändiga författningsändringar. 1 slutbetänkande Skyddet för den personliga integriteten, SOU 2008:3. Förslag om ökad information till regering och riksdag framförde i sitt slutbetänkande2 att regeringen borde överväga vissa åtgärder för att stärka integritets- skyddet. Det anfördes bl.a. att regeringen borde överväga att i en årlig skrivelse till informera om utvecklingen och det aktuella tillståndet rörande skyddet för den personliga integriteten. Med en sådan ordning skulle , enligt mening, få en samlad bild av vilka förslag som lämnats och vilka åtgärder av betydelse för integritetsskyddet som genomförts eller borde genomföras. Andra fördelar som lyftes fram var att integri- tetsskyddsfrågorna skulle få en politisk tyngd som de dittills saknat samt att arbetet med att ta fram underlag för skrivelsen skulle ge regeringen särskild anledning att åstadkomma samordning och skapa överblick över integritetsskyddsfrågorna inom samtliga politikom- råden. pekade också på avsaknaden av ett samhällsorgan som har samlad uppsikt över den flora av apparatur och metoder som kan brukas med integritetskränkande konsekven- ser samt över de tekniska möjligheter som medborgarna själva har att skydda sig mot olika former av intrång i deras privatliv. Vidare fram- hölls att det inte heller finns något samhällsorgan som sammanhållet tillvaratar integritetsskyddsintresset. Mot denna bakgrund föreslog att Datainspektionens roll borde ut- vecklas så att inspektionen tidigt uppmärksammar de teknikrelate- rade riskerna för kränkningar av den personliga integriteten, utan begränsning till området för elektroniska data. Redan i sitt delbetänkande3 pekade på en brist på systemtänkande och helhetssyn i den integritets- skyddsrättliga lagstiftningen, som leder till att regelverket blir oen- hetligt och svåröverskådligt samt försämrar möjligheterna att beakta kumulativa och samverkande effekter av nya begränsningar i integri- tetsskyddet som genomförs i olika delar av lagstiftningen. noterade också att inget statligt organ har i uppgift att slå larm när integritetskänslig information utnyttjas för andra ändamål än vad den varit avsedd för. 2 SOU 2008:3. 3 delbetänkande Skyddet för den personliga integriteten SOU 2007:22. Förslag om ökad information till regering och riksdag att takten i ny integritetsbegränsande lagstiftning i många fall var högt uppdriven. Mot denna bakgrund lyfte kommittén frågan om ett nytt särskilt organ på integritets- skyddsområdet. I slutbetänkandet återkom till denna fråga och anförde att regeringen borde överväga inrättandet av en nämnd eller ett råd med uppgift att vaka över integritetsskyddet på hela samhällsområdet, för det fall att det skulle visa sig att kommitténs olika förslag och analyser inte ledde till ett förbättrat integritetsskydd och säkrare avvägningar i lagstiftningsprocessen. Den utveckling av ny teknik och nya användningsområden som skett sedan presenterade sitt slutbetänkande har varit omfattande och har haft effekter inom i stort sett alla delar av samhället. Något som haft återverkning inom många områden är spridningen av s.k. smarta enheter (uppkopplade mobil- telefoner och surfplattor). Användingen av sådana enheter har ökat mycket snabbt och har haft till följd att programvaror och system har utvecklats och anpassats för att kunna fungera med de smarta enheterna. Enheternas många funktioner och sensorer innebär en stor ökning av de elektroniska spår som användarna efter- lämnar i vardagen. Likaså har s.k. molntjänster kommit att bli mycket vanliga och sådana tjänster tillhandahålls av ett stort antal leverantörer för flera olika slags verksamheter. Molntjänsterna innebär ofta en global spridning av uppgifterna som hanteras och en motsvarande minskning av möjligheterna till insyn och kontroll. En annan generell utveckling är att det blivit allt enklare att på ett samlat sätt bearbeta och analysera mycket stora datamängder av olika format (s.k. big data-analyser). Det görs ofta i realtid, vilket innebär att det blir allt svårare att i förväg veta för vilka ändamål personupp- gifter kommer att användas. I arbetet med att kartlägga och analysera risker för den personliga integriteten har kommittén särskilt noterat utvecklingen inom vissa områden. För konsumenter har det kommit allt fler kostnadsfria tjänster där motprestationen består i att konsumenten lämnar sina Förslag om ökad information till regering och riksdag Allt fler vardagsgöromål, som inte uppfattas som ett uppgiftslämnande, genererar elektroniska spår – ofta utan att den enskilde är medveten om det. För skolan skräddarsys tjänster i vilka allt fler detaljerade uppgifter om elevernas förehavanden och presta- tioner samlas in och används för nya ändamål. Likaså blir arbets tagares vardag kartlagd, såväl avsiktligen för att effektivisera och styra verksamheter, som oavsiktligen i samband med att kunders ageranden kartläggs. Dessa är bara några exempel från de många företeelser och områden som vi har uppmärksammat. Kommittén har också noterat att det – när det kommer till statens insatser – visserligen utövas tillsyn av hur personuppgifter hanteras, men att tillsynen av naturliga skäl vanligtvis avser enstaka företeelser och inte alltid leder till att tillsynsmyndigheterna förmedlar eller ens själva får en övergripande uppfattning om den kartläggning och övervakning som faktiskt pågår. Även när det gäller regelverket har det skett en omfattande ut- veckling . tillkommer nya författningar eller förslag till författningar med inverkan på den personliga integriteten. I Datainspektionens publikation Integritetsåret (2008–2012) uppmärksammades respektive års viktigaste författningsärenden ur integritetssynpunkt. nämner Datainspektionen exem- pelvis 13 nya viktiga författningar eller författningsförslag, däribland lagen (2008:717) om signalspaning i försvarsunderrättelseverksam- het (signalspaningslagen), ett förslag till ny polisdatalag, och ett förordningsförslag om ett s.k. fetmaregister. nämns tolv nya författningar eller författningsförslag, däribland ett förslag till ändring i signalspaningslagen med nya spaningsmöjligheter för den öppna polisen, ett lagförslag om kameraövervakning i tunnelbanan och parkeringshus samt ett förordningsförslag om befolkningsbase- rad forskning. Även under de mellanliggande åren, 2009–2011, har utvecklings- takten varit hög, att döma av Datainspektionens sammanställningar . Sammanställningarna omfattar endast de författningar som myndigheten ansett vara av störst betydelse ur integritetssyn- punkt under respektive år. får Datainspektionen emellertid långt fler författningsförslag på remiss i vilka regeringen eller remit- terande myndigheter bedömt att förslagen skulle kunna vara av bety- Förslag om ökad information till regering och riksdag delse för den personliga integriteten. Som exempel kan nämnas att Datainspektionen svarade på 97 remisser, på 115 remisser, och på 117 remisser. tog i sitt slutbetänkande4 upp den i rådande ordningen som en möjlig förebild. I överlämnar regeringen en skrivelse till , bestående av Datatilsynets årsrapport och regeringens egna kortfat- tade kommentarer och bedömningar. I årsrapporterna redogör Datatilsynet relativt utförligt för sitt arbete på vissa utvalda områden , vilka resultat arbetet gett och vilka framtida utmaningar som finns inom respektive område. För sin årsrapport för valde Datatilsynet exempelvis ut områdena hälsa och välfärd, barn och utbildning, rättsväsendet samt digitaliseringen av offentlig sek- tor. Fokus i redovisningarna ligger på ny teknik och nya använd- ningsområden. I sin skrivelse till tar regeringen sedan upp några av dessa områden. Regeringen har i skrivelsen behandlat exem- pelvis digitaliseringen av offentlig sektor, och bl.a. yttrat att det är viktigt att dataskyddet får en plats i denna utveckling och att det an- svariga departementet ska fortsätta sin aktiva IKT-politik och bidra till ett gott integritetsskydd. Vidare har Datatilsynet i samarbete med det norska tagit fram en mer framåtblickande och trendspa- nande rapport som publicerats separat. Det norska är ett oberoende, offentligt organ som ger råd till och reger- ingen när det gäller ny teknologi, utan begränsning till it-området. I sammanhanhet kan nämnas att det i råder en liknande ordning. Där överlämnar den federala dataskyddsmyndigheten (Die BundesbeauftragtefürdenDatenschutzunddieInformationsfreiheit) vart annat år en motsvarande rapport, som även innehåller förslag till åtgärder, till den parlamentariska församlingen Bundestag. 4 SOU 2008:3. Förslag om ökad information till regering och riksdag 24.5Kommitténs överväganden och förslag 24.5.1Behovet av ett nytt organ för säkrare avvägning i lagstiftningen resonerade kring behovet av ett nytt integritetsskyddsorgan, föreställde sig kommittén ett organ vars huvuduppgift skulle vara att verka för en säkrare avvägning av motstående intressen i lagstiftningen. Enligt skulle behovet av ett sådant organ vara mindre angeläget, om det visade sig att statsmakterna skulle ta fasta på kommitténs kritiska genomgång av regelverket och förslag till lagstiftning. Det i sammanhanget mest betydelsefulla förslaget från kommittén var den nya bestämmelsen i 2 kap. 6 § andra stycket regeringsformen. Bestämmelsen innebär ett förbud för lag- stiftaren att vidta åtgärder som innebär betydande intrång i den per- sonliga integriteten, såvida inte begränsningarna görs i form av lag- stiftning som är underkastad det i regeringsformen särskilt föreskrivna förfarandet vid rättighetsbegränsande lagstiftning. bedömningar och förslag bygger alltså på tanken att man – efter en uppföljning av effekterna i lagstift- ningsarbetet av nämnda bestämmelse i regeringsformen – skulle återkomma till frågan om det finns ett behov av ett nytt integritets- skyddsorgan i kommitténs mening. I vårt uppdrag ingår att följa upp effekterna i lagstiftningsarbetet av den aktuella bestämmelsen i regeringsformen. Som framgår ovan har denna kommitté också i uppdrag att följa upp Integritetskydds kommitténs slutbetänkande när det gäller behovet av att inrätta ett nytt integritetsskyddsorgan. Trots att arbetet med att följa upp effekterna av ändringen i reger- ingsformen inte är avslutat, anser att det redan nu kan konstateras att det inte bör inrättas något nytt integritets- skyddsorgan med huvuduppgift att verka för en säkrare avvägning av motstående intressen i lagstiftningen. Datainspektionen har ett övergripande ansvar för skyddet av personuppgifter, vilket bl.a. innebär att myndigheten regelmässigt är remissinstans (både när det gäller formella remisser och delningar från departementen) och ofta finns representerad i utredningar som gäller sådana frågor. Det finns dessutom ett flertal andra myndigheter och organisationer Förslag om ökad information till regering och riksdag som också granskar förslag till ny lagstiftning ur ett integritets- skyddsperspektiv. Här kan särskilt nämnas Justitiekanslern, ombudsmän, för samhällsskydd och beredskap, , Säkerhets- och integritetsskydds- nämnden samt , vilka ägnar ansenliga resurser åt att granska och inte sällan framföra kritik mot förslag som påverkar den personliga integriteten. De bidrar därigenom till att integritets- skyddsperspektivet lyfts fram i lagstiftningsarbetet och att brist fälliga avvägningar uppmärksammas. Mot denna bakgrund är det bedömning att det – oavsett vilken effekt den nya bestämmelsen i regeringsfor- men haft på lagstiftningsarbetet – saknas behov av ett nytt integri- tetsskyddsorgan som, på det sätt som ansåg kunde övervägas, skulle ha till huvuduppgift att verka för en säkrare avvägning av motstående intressen i lagstiftningen. 24.5.2Behovet av överblick och rapportering om utvecklingen Såväl regeringen som har behov av kunskap för att kunna följa den snabba utveckling som beskrivs här, liksom kunskap om hur övervakning och kartläggning kan gå till och faktiskt förekom- mer. Kunskap behövs också om hur de legala förutsättningarna lö- pande förändras, vilka trender som kommer att vara av betydelse och om hur stort det sammanlagda trycket blir på den en- skilda individens privata sfär. Sådan kunskap behövs för att på olika sätt kunna påverka utvecklingen i önskvärd riktning.