sou · H4B341 · 2016-06-07 00:00:00 — 48 MSB:s remissvar avseende SOU 2014:39, myndighetens dnr 2014-3403-2. 49 Betänkande av NISU 2014, Informations- och cybersäkerhet i , Strategi och åtgärder för säker information i staten, SOU 2015:23. informations- och cybersäkerhet för att åtgärda de mest angelägna bristerna i statsförvaltningen. Den föreslagna strategin uppställer sex mål för staten under regeringens ledning: 1.Staten förstärker styrning och tillsyn av informationssäkerheten i staten, 2.Staten blir en tydlig kravställare, 3.Staten kommunicerar säkert, 4.De statliga myndigheterna ska rapportera it-incidenter, 5.Statens förebyggande och bekämpande av it-relaterad brottslig- het stärks och 6.Sverige ska vara och uppfattas som en stark internationell partner. Myndigheten för samhällsskydd och beredskap har tagit fram väg- ledningar och praktiskt stöd för långsiktigt och systematiskt arbete med informationssäkerhet. Dessa finns samlade på webbplatsen . 11.1.15Regeringens mål i lagmotiv, digital agenda och e-förvaltningsstrategi I sin rapport i den civila statsförvaltningen50 beskriver utvecklingen genom att göra några nedslag i förarbeten . uttryckte regeringen att inriktningen för statsförvaltningen bör vara att all den information individer och företag behöver få från, och lämna till, myndigheter bör finnas tillgänglig elektroniskt.51 stegrades målsättningen genom att målet för varje myndighet ska vara att all information och service som med bibehållen eller ökad effektivitet, såväl ekonomisk som organisatorisk, kan tillhandahållas elektroniskt också ska till- handahållas så.52 I propositionen om behandling av personuppgifter 2008 uttalar regeringen att den tekniska infrastrukturen för den offentliga förvaltningens kommunikation 50 RiR 2014:23. 51 Regeringens proposition Ett informationssamhälle för alla, prop. 1999/2000:86. 52 Regeringens proposition Från IT-politik för samhället till politik för IT-samhället, prop. 2004/05:175. med medborgarna bör bygga på internet.53 I den förvaltningspoli- tiska propositionen konstaterades slutligen att det finns en stor effektiviseringspotential att ta till vara med hjälp av tekniken och den ska också bidra till att förstärka förvaltningens öppenhet.54 beslutade regeringen om en ny strategi för it-politiken, It i människans tjänst – en digital agenda för Sverige55, kallad den digitala agendan för . Enligt denna är målet för it- politiken att ska vara bäst i världen på att använda digitalise- presenterade regeringen sin e-förvaltningsstra- tegi Med medborgaren i centrum.56 Strategin förtydligar och preciserar de mål och strategiska ställningstaganden som uttrycks i den förvalt- ningspolitiska propositionen57 och i den digitala agendan för . I strategin sägs bl.a. att: …statsförvaltningen spelar en central roll i utvecklingen av . Den ska vara innovativ, samverkande, rättssäker och effektiv, samt ha en väl utveck- lad kvalitet, service och tillgänglighet. Därigenom ska den bidra till utveckling och ett effektivt EU-arbete. ska vara bäst i världen på att använda digitaliseringens möjligheter. 11.1.16 Samordning och styrning av utvecklingen rapporterade Statskontoret sitt regeringsuppdrag att utvärdera E-delegationen.58 Statskontoret konstaterade att reger- ingen behöver stärka den samlade beslutsförmågan och genomföran- dekraften inom e-förvaltningsområdet. Regeringen annonserade i budgetpropositionen för en satsning för att förstärka styrning och samordning av övergripande it-användning i statsförvaltningen. Regeringen vill se en ökad samordning och utveckling av informationsutbytet mellan myndigheter. 53 Regeringens proposition Behandling av personuppgifter inom studiestödsområdet, prop. 2008/09:96. 54 Regeringens proposition Offentlig förvaltning för demokrati, delaktighet och tillväxt, prop. 2009/10:175. 55 Dnr N2011/342/ITP. 56 Dnr N2012/6402/ITP. 2009/10:175. 58 Dnr N2014/1630/ITP. På har det som ett led i satsningen inrät- tats en särskild e-förvaltningsenhet. Regeringen har vidare uppdragit åt att ge stöd till regeringen och i samband med sats- ningen på e-förvaltning –2018.59 Vidare ska inom ramen för satsningen ge stöd till de statliga myndigheterna. E-delegationen avslutade sitt arbete . I slutbetän- kandet60 sammanfattar E-delegationen dagsläget för e-förvaltningen med följande ord: Oavsett vilka vägval som görs i den offentliga sektorn behöver samverkan mobiliseras. För detta krävs centrala inriktningsbeslut och en nationell styr- ning och samordning.I dag finns även det s.k. E-samverkanspro- grammet (eSam) som är en frivillig sammanslutning av berörda myndigheter med ett kansli placerat på . I eSam ingår ingen myndighet som har i uppdrag att peka på möjliga problem för integritetsskyddet i e-förvaltningen, som exempelvis Datainspektionen eller Myndigheten för sam- hällsskydd och beredskap. När det gäller samordning av e-förvaltningsutveckling för kom- muner och landsting görs arbetet inom Kommuner och Landsting där det koordineras i programkontoret hället (CeSam). Regeringen har undertecknat en avsiktsförklaring tillsammans med Kommuner och Landsting. Syftet med avsiktsförklaringen är att tydliggöra hur parterna kan stärka förut- sättningarna för digital samverkan mellan stat, kommuner och landsting genom att peka ut ett antal områden för fördjupat samar- bete. Dessa områden är främjande av digitala tjänster som första- handsval, utveckling av förvaltningsgemensamma lösningar, under- lätta samverkan kring gemensamma tjänster och infrastruktur samt samarbeta om initiativ för öppen innovation. Därtill syftar avsikts- förklaringen till att öka förutsättningarna för en stärkt styrning och uppföljning av digitaliseringen av det offentliga , samt verka 59 Dnr N2015/03210/EF. 60 SOU 2015:66. för ett gemensamt budskap. I avsiktsförklaringen sägs att arbetet ska drivas utifrån ett antal grundläggande principer, bl.a. den enskildes rätt till sekretess och integritetsskydd.61 Regeringen har även tillsatt ett särskilt råd för digitaliseringen av det offentliga . Tanken är bl.a. att det i rådet ska lyftas strategiska frågor för att identifiera och diskutera utmaningar under genomförandet av regeringens satsning på e-för- valtning och vid behov föreslå åtgärder. Liksom i eSam ingår här ingen myndighet som har i uppdrag att peka på möjliga problem för integritetsskyddet i e-förvaltningen. har en pågående granskning av digitaliseringen av den offentliga förvaltningen. Resultatet av granskningen kommer att presenteras i en rapport med planerad publicering . motiverar granskningen med att det har gjorts flera analyser som pekar på problem och oklarheter rörande förvaltningens förutsättningar för att utveckla e-förvaltning, framför allt förvaltningsgemensamma digitala tjänster. Regeringen har också tillsatt flera utredningar, råd och andra organ för att styra den svenska e-förvaltningen. Trots det har enligt problem och oklarheter inte hanterats fullt ut och regeringens styr- ning av den svenska e-förvaltningen har upplevts som fragmentarisk och kortsiktig. Hanteringen av personuppgifter inom e-förvaltningen regleras i ett stort antal olika författningar, beroende på inom vilket område av förvaltningen det handlar om. Exempelvis omfattas hanteringen av personuppgifter inom socialförsäkringsområdet av 114 kap. i social- försäkringsbalken, inom skatteområdet av bl.a. lagen (2001:181) om behandling av personuppgifter i beskattningsverksam- het, inom hälso- och sjukvården av patientdatalagen (2008:355) och inom socialförvaltningen av lagen (2001:454) om behandling av per- sonuppgifter inom . För vissa områden, exempelvis skolan, saknas särskilda registerförfattningar, och hanteringen av personuppgifter regleras av enbart personuppgiftslagen. 61 Bilaga till protokoll nr III 5, vid regeringssammanträde , N2015/07455/ EF. De särskilda registerförfattningarna möjliggör oftast att person- uppgifter hanteras på ett sätt som inte hade varit lagligen möjligt med stöd endast av personuppgiftslagen. Tanken med dessa regler är att möjliggöra sådan hantering av personuppgifter som myndighe- terna behöver för att kunna utföra sina arbetsuppgifter, som regelverket ska beakta de enskildas behov av skydd för sin per- sonliga integritet. Även offentlighets- och sekretesslagen (2009:400) och 2 kap. 6 § regeringsformen är av stor betydelse för att skydda den enskildes personliga integritet i samband med e-förvaltning. På området finns även regler som inte har som syfte att skydda den enskildes personliga integritet, utan som i stället ska skapa insyn och transparens i förvaltningen. Hit hör förstås bestämmelserna om handlingsoffentlighet i tryckfrihetsförordningen, men också den s.k. PSI-lagen, dvs. lagen om vidareutnyttjande av handlingar från den offentliga förvaltningen. Arkivlagen (1990:782) med anslutande författningar har bevarande som huvudregel, men innehåller också bestämmelser om gallring, exempelvis föreskrivs i 7 kap. 1 § föreskrifter och allmänna råd om arkiv hos statliga myndigheter (RA-FS 1991:1) att myndigheten fortlöpande ska pröva förutsättningarna för gallring. Bestämmelser om gallring i en registerförfattning har företräde framför arkivregelverket. Betänkandet Myndighetsdatalag62 innehåller en översiktlig kart- läggning och kategorisering av de olika registerförfattningarna. Betänkandet visar på att registerförfattningar kan se ut på många olika sätt, både till innehåll och till uppbyggnad. I betänkandet före- slås att registerförfattningarna ska ersättas av en enda myn- dighetsdatalag. 11.3Kommitténs samlade bedömning av området Digitaliseringen i den offentliga förvaltningen har redan skapat bety- dande värden i form av bättre service till medborgarna och en effek- tivare förvaltning. Nyttoeffekten av de olika företeelserna i e-för- valtningen varierar emellertid till art och omfång. Det finns även stora variationer i riskerna för den personliga integriteten som före- teelserna innebär. 62 betänkande Myndighetsdatalag, SOU 2015:39. Inom såväl statlig som hanterar myndig- heterna ett stort antal uppgifter om enskilda. rör det sig om uppgifter som är känsliga i personuppgiftslagens mening, t.ex. om hälsa, eller som på annat sätt är närgångna och därmed inte- gritetskänsliga, t.ex. uppgifter om enskildas inkomster, sociala problem, skuldsättningar och familjeförhållanden. har de enskilda inget inflytande över myndigheternas hantering – den görs i regel utan deras samtycke. Det innebär att det vilar ett särskilt ansvar på det allmänna att se till att uppgifter bara hanteras när det verkligen är nödvändigt för att förvaltningen ska kunna utföra sitt uppdrag, och att se till att hanteringen är så säker som möjligt. Teknikutvecklingen gör det möjligt för den offentliga förvalt- ningen att utveckla och effektivisera sin hantering av personuppgif- ter. Det innebär för det första en möjlighet att öka spridningen och vidareanvändningen av uppgifter, dvs. att öka hanteringen rent generellt. Men för det andra innebär utvecklingen också en möjlighet att skydda uppgifterna på ett bättre sätt genom att använda tekniker som stärker den personliga integriteten, t.ex. anonymisering.63 Dessa två möjligheter går i praktiken ofta att förverkliga . En generell iakttagelse som kommittén gör är dock att myndighe- ter och regeringen fokuserar sitt utvecklings- och författningsarbete på den första möjligheten, medan man arbetar betydligt mindre på den andra. Det innebär att offentlig sektor riskerar att bygga in egen- skaper i system, arbetsformer och i författningar, som kan bli mycket svåra och dyra att ändra på, om följderna för den personliga integri- teten visar sig bli allvarliga. Informationshantering inom och mellan olika myndigheter Myndigheterna hanterar fler uppgifter om enskilda än . Det finns teknik som gör det enkelt att sprida, vidare- använda och sambearbeta uppgifter, såväl inom en myndighet som myndigheter emellan, eller mellan myndighet och enskilda. Redan komplexiteten och de tekniska utmaningarna i några av de system som byggts upp för att dela information, kan innebära att utvecklingsresurserna används enbart åt funktionalitet och inte till 63 Se vidare i bilaga 4 om integritetsskyddande teknik. att analysera frågor som är av betydelse för integritetsskyddet. Det förekommer att frågor om t.ex. personuppgiftsansvar, behörighets- tilldelning och förenlighet med registerförfattningar behandlas i utvecklingsprocessen – först när systemet tagits i skarp drift eller inte alls. Anmärkningsvärt är också att det i dessa sammanhang kan finnas brister i viljan hos myndigheter att ta ansvar för både hanteringen av och säkerheten för uppgifter om enskilda personer. Faktorer som i detta sammanhang är av betydelse för risken för den personliga integriteten, är att det hos vissa myndigheter finns databaser som omfattar hela eller en stor del av befolkningen med uppgifter som kan vara mycket integritetskänsliga. Uppgifter kan spridas till handläggare, inom den egna myndigheten eller på en annan myndighet, som egentligen inte behöver kunna ta del av upp- gifterna för att utföra sitt arbete. Enskilda kan i regel inte motsätta sig att deras uppgifter hanteras av myndigheterna. Vi anser därför att den ökade informationsdelningen inom och mellan myndigheter innebär en påtaglig risk för den personliga integriteten. måste också beaktas att det finns en stor potential för att dessa företeelser både kan användas för att ge bättre service till allmänheten och för att effektivisera förvaltningen. När det gäller e-tjänster som direkt vänder sig till enskilda, exempel- vis s.k. egna utrymmen hos myndigheterna, anser kommittén att det finns en viss risk för den personliga integriteten. Faktorer som här är av betydelse för risken för den personliga integriteten, består främst i oklarheter kring personuppgiftsansvaret och i att e-tjänsterna kan ges en teknisk utformning som inte ger ett tillräckligt gott skydd för uppgifterna. Uppgifter kan spridas av misstag eller efter ett antago- nistiskt angrepp (hacker-attack) riktat mot myndigheten. måste också beaktas att det finns en tydlig potential för att sådana tjänster kan vara till stor och direkt nytta för enskilda personer. Emellertid har vi noterat att myndigheter när det gäller vissa företeelser har en benägenhet att lägga över personuppgiftsansvaret på den enskilde. Det gäller till exempel möjligheten att använda sms- tjänster eller e-post i kontakten med en myndighet. myndigheten inte fullt ut tar ansvar för att uppgifterna hanteras bara för de avsedda ändamålen och på ett tillräckligt säkert sätt. Den enskilde förväntas ta ansvar för en hantering som de flesta inte för- mår överblicka i sin helhet. När sådana försök till förskjutning av ansvaret förekommer, kan det enligt kommitténs mening medföra att risken potentiellt ökar för den personliga integriteten. Myndigheter med uppgifter i molnet och bristen på beställarkompetens Vi har i avsnitt 21.1 om molntjänster gått igenom både risker och fördelar med användningen av molntjänster generellt. Dessa gäller i högsta grad även för myndigheter. Faktorer som för myndigheter är av särskild betydelse för risken för den personliga integriteten, är att myndigheterna kan hantera ett stort antal personuppgifter som kan vara mycket integritetskänsliga, ingå i allmänna handlingar och även omfattas av sekretess. Vidare måste myndigheter veta hur relevanta register- och arkivförfattningar ska tillämpas. Även andra integri- tetsskyddande regler kan vara av betydelse för myndigheterna, som exempelvis säkerhetsskyddslagen och Myndighetens för samhälls- skydd och beredskap föreskrifter om informationssäkerhet hos statliga myndigheter. Många små myndigheter saknar kompetens att välja rätt slags molntjänst som fungerar juridiskt och säkerhetsmäs- sigt för just den aktuella verksamheten. Vi anser att dessa faktorer sammantagna medför att det för myndigheter finns allvarliga risker med molntjänster, i synnerhet i s.k. publika moln (uttrycket förkla- ras närmare i avsnitt 21.1 om molntjänster). måste också beaktas att det finns en stor potential för att effektivisera förvaltningen med hjälp av molntjänster, dvs. genom att låta företag lagra och hantera myndigheters data.64 Rent generellt för alla slags tjänster inom e-förvaltningen anser vi att det innebär en påtaglig risk för den personliga integriteten, att det alltjämt konstateras stora bister i myndigheters kompetens avseende 64 utvecklar i en nyligen utgiven rapport de potentiella fördelarna för statliga myndigheter med molntjänster, se Molntjänster i staten, En ny generation av outsour- cing, , 2015. juridik, informationssäkerhet och kravställning, som myn- digheterna förväntas börja använda och utveckla nya system och tjänster. Myndigheter i sociala medier och med gilla-knappar på webben Faktorer som i detta sammanhang är av betydelse för risken för den personliga integriteten, är att det finns myndigheter som i förhål- lande till sociala medier präglas av ett visst mått av naivitet. Myndigheter inser inte alltid att de i onödan kan hjälpa sociala medier, deras samarbetsparter eller företagen bakom sökmotorerna, att kartlägga vad allmänheten gör på nätet. När myndighetens kun- skap om detta är begränsad, får besökarna på webbplatsen naturligt- vis inte heller tillräckligt med information om att uppgifter om deras aktiviteter på nätet kommer att lämnas ut till företag i tredje land för andra ändamål än att möjliggöra deras besök på myndighetens webb- plats. Myndigheternas användning av tjänster från sociala medier och sökmotorföretagen (t.ex. att ha myndighetskonton eller gilla- knappar på den egna webbplatsen), kan innebära att integritetskäns- liga personuppgifter lämnas ut till företag i tredje land, även om detta troligen bara görs undantagsvis. Sammanfattningsvis anser vi att myndigheternas användning av tjänster från sociala medier och sök- motorföretagen innebär en viss risk för den personliga integriteten. är det viktigt att myndigheter kan använda sig av olika media och metoder för att informera brett och effektivt om sina verksamheter, i synnerhet som verksamheterna kan medföra både rättigheter och skyldigheter för den enskilde. I likhet med anser vi att insatserna för att öka sprid- ningen av information från myndigheter till resten av samhället, i kombination med en svårtillämpad och delvis oklar lagstiftning (i första hand PSI-lagstiftningen) innebär en påtaglig risk för den per- sonliga integriteten. Medborgarprofilering och kontroller på nätet Av stort intresse för integritetsskyddet är sådan kontrollverksamhet hos myndigheter, som syftar till att i förväg bedöma vilken sannolik- het det finns för att en viss individ ska begå någon form av felaktig- het. Av betydelse för risken för den personliga integriteten är att denna kontrollverksamhet präglas av frånvaro av transparens i för- hållande till allmänheten. Detsamma gäller för myndigheters efter- forskande verksamhet på öppna eller slutna delar av nätet. Här finns också en rad juridiska, bl.a. grundlagsrelaterade, frågetecken, både avseende de interna kontrollerna och kontrollerna på nätet. Vi anser därför att dessa kontrollverksamheter innebär allvarliga risker för den personliga integritetet. måste också beaktas att det är synnerligen angeläget, både ur det allmännas och ur medborgarnas perspektiv, att myndig- heterna på ett effektivt sätt kan använda sig av egna data och av nätet för att förebygga misstag och oegentligheter. De brister i myndigheters informationssäkerhet som vid upprepade tillfällen har konstaterats av flera olika kontrollinstanser, måste sägas medföra en allvarlig risk för den personliga integriteten. Av betydelse i sammanhanget är förstås att myndigheterna hanterar en stor mängd uppgifter som kan vara både känsliga och närgångna och därmed synnerligen skyddsvärda. Brister i informationssäkerheten kan också rent generellt försämra allmänhetens tillit till den offentliga förvalt- ningen. Kapitel 22, Informationssäkerhet och integritet, innehåller en redogörelse för informationssäkerhetens betydelse för skyddet av den personliga integriteten. Brister i regelverket för hantering av personuppgifter inom e-för- valtningen uppmärksammades av . Kommittén pekade på att det var en genomgå- ende brist att konsekvenserna för den enskildes integritetsskydd inte hade analyserats och beaktats tillräckligt i arbetet, som har bedrivits för att underlätta myndigheters möjligheter att använda ny teknik och för att främja ett ökat informationsutbyte mellan myndigheter. I den mån överväganden av detta slag förekom- mit, menade kommittén att de inte dokumenterats tillräckligt i för- arbetena till lagstiftningen.65 Även E-delegationen har i sitt slutbetänkande uppmärksammat att det finns brister i regleringen av förutsättningarna för en effektiv e-förvaltning och ett välavvägt integritetsskydd. E-delegationen bedömer att detta även påverkar enskildas tilltro till myndigheterna, vilket innebär att det är angeläget att regeringen har ett helhetsper- spektiv när resultaten av tillsatta utredningar bereds.66 Även Datainspektionen pekar i sina remissvar regelbundet på brister i nya författningsförslag när det gäller integritetsskyddet.67 Vår analys av e-förvaltningen utgår i detta delbetänkande från företeelser som kan ha betydelse för den personliga integriteteten, snarare än från det rättsliga skyddet på området. Emellertid har, som framgår ovan, andra granskningar konstaterat systematiska brister i såväl det befintliga regelverket som i de förslag till nya författningar som framförs på området. Ett genomtänkt regelverk kan bidra till att skydda den personliga integriteten, genom att tydligt peka ut ramar för vad myndigheterna får och ska göra med uppgifterna. Ett sådant regelverk kan också bidra till att myndigheterna känner sig trygga att utveckla nya e-tjänster inom lagstiftningens ramar. Kommittén befa- rar emellertid att bristerna i regelverket för e-förvaltningen kan medföra försämringar i integritetsskyddet. Under arbetets gång har flera myndigheter efterlyst tydligare och mer konkret vägledning från Datainspektionen i frågor som rör e-förvaltning och integritetsskydd. Vi avser att återkomma till Datainspektionens uppdrag i slutbetänkandet. 65 delbetänkande Skyddet för den personliga integriteten – Kartläggning och analys, SOU 2007:22. 66 SOU 2015:66. Datainspektionens remissvar avseende SOU 2015:5, En ny svensk tullagstiftning, myndighetens dnr 404-2015. I regeringens digitala agenda och e-förvaltningsstrategi sägs att ska bli världsledande när det gäller digitalisering. Det finns dock inga uttalanden om att skyddet för den personliga integriteten också bör nå en liknande världsledande ställning. En sådan ambition för integritetsskyddet inom e-förvaltningen vore kanske inte orim- lig, eftersom det inte alls behöver innebära ett onödigt försvårande av utveckling av nya tjänster som förbättrar servicen till de enskilda och effektiviserar förvaltningen. Samordning och styrning av utvecklingen Sammanfattningsvis kan sägas att alla initiativ inom e-förvaltningen – till nya arbetssätt, tillämpning av ny teknik eller ändringar i regel- verket – präglas av regeringens höga ambitioner för att påskynda utvecklingen. visar redan kommitténs översiktliga gransk- ning av integritetsrisker inom e-förvaltningen att det på flera punkter finns betydande brister när det gäller både integritetsskydd och informationssäkerhet. Det är också tydligt att det inte finns någon aktör i offentlig sektor som både har övergripande kunskap om vad som händer inom området, och i realiteten utövar en övergri- pande styrning över e-förvaltningen. Som flera andra, exempelvis E-delegationen och , har påpekat, innebär avsaknaden av samordning och styrning en risk för att utvecklingen bromsas och inte uppnår de önskade service- och effektiviseringsnivåerna. Men det innebär också en allvarlig risk för att den personliga integriteten inte skyddas tillräckligt.