sou · H4B341 · 2016-06-07 00:00:00 — Om datorn upptäcker att en bil i närheten är exempelvis stulen, obesiktigad eller har körförbud, informeras polispatrullen automatiskt och kan stoppa det aktuella fordonet för en närmare kontroll. Ett antal säkerhetsbolag har ansökt om att få använda en liknande teknisk lösning för att förhindra obetalda tankningar. Systemet inne- bär att en kamera vid bensinstationens infart automatiskt läser av registreringsnummer för fordon som kör in på bensinstationen. Därefter jämförs dessa registreringsnummer automatiskt med registreringsnummer för fordon som tidigare tankats utan betalning och som därför har registrerats i en databas. 13 Tekniken skulle bl.a. kunna användas av brottsbekämpande myndigheter. Som exempel kan nämnas att polismyndigheten i tidigare haft planer på att förse patrullerande poliser med Google Glass för att möjliggöra automatisk ansiktsigenkänning (detectives to get Google Glass to fight crime, artikel publicerad av Reuters). Google har för tillfället har stoppat försäljningen av Google Glass, men uppgett att produkten kommer att finnas kvar och fortsätta utvecklas (Google Glass sales halted but firm says kit is not dead, artikel publicerad av BBC). registrerat i databasen får personal på bensinstationen uppgift om detta och kan besluta om fordonsföraren ska tillåtas tanka på kredit eller om tankningen måste förskottsbetalas.14 Det förekommer även att företag i kommersiella syften, exempel- vis vid köpcenter, använder kameror för att läsa av registrerings skyltar på kundernas bilar för att kunna identifiera individer och visa riktad reklam i direkt anslutning till bilen.15 Vidare finns exempel på hur bilder av registreringsskyltar samlas in och lagras i databaser för att bl.a. säljas vidare till olika företag och myndigheter.16 20.3.2Risker för den personliga integriteten Vid lagring av integritetskänslig information finns det alltid en risk för obehörig åtkomst till – och olovlig spridning av – informationen. Tryckfrihetsförordningens och yttrandefrihetsgrundlagens bestämmelser om meddelarfrihet har företräde framför kameraöver- vakningslagens regler om tystnadsplikt. Om bilder från kameraöver- vakning olovligen lämnas ut för ett offentliggörande enligt någon av dessa lagar, får det allmänna i regel inte ingripa mot utlämnaren av bilderna.17 I den situationen är det i regel inte heller möjligt att hålla den ansvariga utgivaren ansvarig för efterföljande offentliggörande på t.ex. en dagstidnings webbplats. Vidare kan bristande säkerhet avseende material från kameraöver- vakning, exempelvis när det gäller interna rutiner för åtkomstkon- troll, loggning, kryptering, anonymisering och gallring, få stora konsekvenser för enskilda. Om uppgifterna lagras hos någon annan, t.ex. på någon typ av molntjänst, kan även bristande säkerhet hos denna samarbetspartner få stora konsekvenser. 14 biföll Datainspektionens överklagan i dom ansökan (mål nr 4970-14). Domstolen fann att syftet med behandlingen inte kan anses motivera det integritetsintrång som behandlingen innebär. Det saknades således skäl att i det aktuella fallet medge undantag från förbudet att behandla personuppgifter om lagöverträdelser som innefattar brott. 15 Datainspektionens beslut , dnr 1874-2011. 16 Se vidare Massive license plate location database just like Instagram, insists, artikel i . 17 Justitiekanslerns beslut , dnr . Som tidigare nämnts i avsnitt 20.2.2 genomförde 20 länsstyrelser en gemensam tillsyn av den kameraövervakning som bedrevs på sammanlagt 195 sjukhus, vårdcentraler och andra vårdin- rättningar. Av rapporten från den granskningen framgår bl.a. att inspelat material i vissa fall lagrades alltför . När stora datamängder är lagrade finns vidare en risk att upp gifterna till slut används på ett sätt som är oförenligt med det syfte för vilket uppgifterna samlades in. Om bilder eller filmer samkörs med annan information om den enskilde, blir intrånget i den enskildes integritet genast större. Sådan samkörning kan möjliggöra omfattande kartläggning av enskilda. Någon som använder kameror med möjlighet till ansiktsigenkänning för att identifiera personer på gatan skulle, genom samkörning med olika databaser i realtid kunna få information om personens yrke, bostadsadress, ekonomiska och familjeförhållanden samt bekant- skapskrets och hobbyer m.m. Vid sådan samkörning finns dessutom risken att den externa data- källan har bristande kvalitet eller innehåller inaktuell information. Om den externa datakällan finns på annan plats, är även kommunika- tionen med datakällan ofta exponerad för samma risker som andra överföringar via internet. Det gäller t.ex. risken att någon obehörig tar del av informationen. Denna risk är särskilt stor om tydliga rikt- linjer för åtkomst och gallring saknas. När tekniken används för att skydda den personliga integriteten, exempelvis vid automatisk anonymisering av resultatet från kamera- övervakning, bör man vara medveten om att det finns en risk att de algoritmer (regler) som används inte är felfria och att visst material därför inte blir avidentifierat. 20.4Kommitténs samlade bedömning av området Diskussionen om kameraövervakning och personlig integritet är på intet sätt ny. De senaste årens teknikutveckling har dock ändrat för- utsättningarna för övervakningen och aktualiserat nya aspekter. Det finns anledning att anta att teknikutvecklingen även har inneburit att kameraövervakningen i samhället har ökat väsentligt. är det dock ingen myndighet som har en samlad bild över hur omfat- tande kameraövervakningen är. Det finns inte ens någon samlad statistik avseende sådan kameraövervakning som kräver tillstånd eller anmälan. Denna avsaknad av statistik är en brist som gör det svårt att upptäcka förändringar när det gäller användningen av kame- raövervakning. Avsaknaden gör det också svårt att bedöma hur omfattande kameraövervakningen faktiskt är. Redan den omständigheten att kameraövervakning förekommer anses innebära ett intrång i den personliga integriteten, även om övervakningen endast görs i realtid och ingen inspelning förekom- mer. Om övervakningen spelas in blir intrånget större, beroende på hur länge materialet bevaras, vilka som har tillgång till det och vad det används till. Om olika kamerasystem kopplas samman med var- andra eller om inspelade bilder kopplas samman med information i stora databaser och biometriska funktioner som t.ex. ansiktsigen- känning, möjliggörs en omfattande kartläggning och intrånget i den personliga integriteten kan bli mycket stort. Det ökade antalet kameror, även bland privatpersoner, i kombination med bättre upp- lösning, billigare lagringsutrymme och möjligheterna till samkör- ning med uppgifter i andra databaser, innebär stora risker för intrång i den personliga integriteten. Med drönare och kroppsburna kameror är det dessutom större risk än tidigare att man, avsiktligt eller oavsiktligt, filmar känsliga situationer, exempelvis i en trädgård eller ett omklädningsrum. Därtill kommer risken för publicering eller annan otillbörlig spridning av bilder, som ofta innebär ett särskilt stort intrång i den personliga integriteten. När det gäller etablerade former för kameraövervakning finns dock ett skyddande regelverk och en aktiv tillsyn. pågår en översyn av kameraöver- vakningslagen och hur den ska förhålla sig till den nya tekniken. Kommittén gör bedömning att kameraövervakning innebär påtag- liga risker för den personliga integriteten. Kameraövervakningen har övergått från fysiskt avgränsade ana- loga system till uppkopplade datoriserade installationer. Tekniken utsätts därför för samma typer av risker som alla andra it-system. Det innebär bl.a. att det material som kamerorna överför eller spelar in måste skyddas från intrångsförsök från utsidan och att innehållet måste skyddas från avlyssning när det överförs från kameror till servrarna där materialet lagras. Används s.k. molntjänster uppkom- mer ytterligare säkerhetsproblem. Vid lagring av omfattande material ökar också risken för s.k. ändamålsglidning, dvs. för att materialet kommer till annan använd- ning än den för vilken inspelningen ursprungligen gjordes. Lagring, bildanalys och annan vidareanvändning av bilder och film ökar alltså riskerna som är förknippade med kameraövervak- ning. Kommittén bedömer därför att lagring och vidarebearbetning av sådana uppgifter är förknippade med allvarliga risker för den personliga integriteten. Kamerövervakningslagen har till syfte att tillgodose behovet av kameraövervakning, men också att skydda enskilda mot otillbörliga intrång i den personliga integriteten. För att åstadkomma detta skydd innehåller lagen detaljerade bestämmelser om när kame- raövervakning är tillåten samt om upplysningsplikt, säkerhet och be- varande av material. Som framgår ovan är det ännu inte helt klarlagt om den regleringen är tillämplig vid användning av vindrutekameror och drönare, vilket i sig är en risk för den personliga integriteten. Det kan även i andra fall vara svårt för en enskild att avgöra om en planerad övervakning omfattas av kameraövervakningslagen, eller om verksam- heten anses vara av rent privat natur.18 Sammantaget är kameraövervakning ett område där det finns särskild anledning att följa den tekniska utvecklingen, t.ex. i fråga om möjligheter att koppla samman kamerasystem och databaser samt när det gäller risker för otillåten spridning och annat missbruk av material. 18 Jfr dom i mål nr C-212/13. 21 Några särskilda företeelser Kommitténs bedömning: Publika molntjänster där flera leveran törer är inblandade, innebär allvarliga risker för den personliga integriteten. Begreppen molnet och molntjänster används som gemensamt namn för tjänster som ersätter program och lagringsutrymme i använda- rens egen dator och i stället erbjuder motsvarande funktioner via in- ternet. Beteckningen molnet har hämtats från illustrationer över da- torkommunikation, där just ett moln ofta används som symbol för internet. I begreppet molntjänster ryms en stor bredd av tjänster. De risker som utmärker molntjänsterna är större om det rör sig om tjänster som innebär att uppgifter hanteras av multinationella företag med verksamhet utanför EES. I det här kapitlet ligger därför fokus på glo- bala molntjänster, snarare än på nationella molntjänster. Fokus ligger vidare på tjänster som riktar sig mot företag, myndigheter och orga- nisationer, och inte i första hand till privatpersoner. Molntjänster som riktar sig till privatpersoner avhandlas på andra ställen, såsom i kapitlen om sociala medier och e-post (kapitel 13) respektive om hälso- och sjukvård och socialtjänst (kapitel 9). publicerade NIST () i en än ofta citerad, generell beskrivning av vad molntjänster är. I texten räknar NIST upp fem karaktärsdrag hos molntjänster: 1 1.självbetjäning är möjlig när kunden behöver det, 2.åtkomst sker via nätet i olika klienter (exempelvis stationära datorer, mobiltelefoner och surfplattor), 3.kunden delar leverantörens resurser med andra kunder, 4.prestanda anpassas till kundens behov för stunden, och 5.tjänsterna går att mäta, bl.a. i syfte att avgöra hur mycket kunden ska debiteras för tjänsten. Man brukar tala om fyra olika typer av molntjänster: publika moln, partnermoln, hybridmoln och privata moln.2 Publika molntjänster ägs och hanteras av en molntjänstleverantör (tredje part) som säljer resurser till flera kunder i samma infrastruk- tur. Tjänster i publika moln är potentiellt tillgängliga för alla som så önskar. Exempel på publika molntjänster är GoogleApps, iCloud och Dropbox. Partnermoln, som ibland också kallas för gemenskapsmoln eller branschmoln, erbjuds till en begränsad och väldefinierad grupp av kunder. En särskild form av partnermoln är s.k. myndighetsmoln. Ett myndighetsmoln har skapats i t.ex. , för att möta särskilda behov av t.ex. säkerhet. Privata molntjänster bygger på en infrastruktur som är dedikerad åt endast en användare. Infrastrukturen kan hanteras av användaren själv eller av en annan aktör. Termen hybridmoln avser en sammansättning av två eller flera molntyper som möjliggör kopplingar mellan olika tjänster och moln- typer. Ett exempel på hybridmoln är Tieto Productivity Cloud.3 1 The NIST Definition of Cloud Computing, Recommendations of , NIST Special Publication 800–145. 2 Den följande beskrivningen av molntyperna är i allt väsentligt hämtad från , En ny generation av outsourcing, , 2015. 3 Produktinformation med titeln är hybridmoln bästa lösningen, läst på . En konsekvens av tekniken bakom molntjänsterna är att organi- sationens information läggs i händerna på tjänsteleverantören. Värt att uppmärksammas är att det sällan är klart hur och var informatio- nen lagras. Hos de globala molntjänstleverantörerna lagras uppgif- terna dock oftast i ett s.k. tredje land, d.v.s. i länder utanför EES- området, som vanligen har en lagstiftning som ger sämre skydd än EU:s dataskyddsdirektiv. De stora molntjänstleverantörerna använ- der sig vanligtvis också av underleverantörer, vilka i sin tur kan ha underleverantörer som är spridda över hela världen. Den som hante- rar sin information i molnet förlorar därför som regel den absoluta kontrollen över informationen. Molntjänster kännetecknas av att informationen flödar över nationsgränserna på ett sätt som är omöj- ligt för en molnkund att överblicka och än mindre kontrollera. Informationen kan finnas på ett datacenter i och på andra sidan jordklotet vid midnatt.4 Molntjänster erbjuder många fördelar för kunderna. Det handlar bland annat om en tydlig kostnad. Organisationen behöver inte investera i egen hård- och mjukvara utan kan i stället betala per an- vändare. Kapacitet efter behov är också en fördel. Kunden behöver då inte köpa utrustning som går att växa i, utan bara betala för det dagsaktuella behovet. För mindre organisationer innebär molntjäns- ter att de kan fokusera på kärnverksamheten. För näringslivet har framväxten av molntjänster inneburit att nystartade företag inte behöver göra stora investeringar i hårdvara. I sin vägledning Använd molntjänster på rätt sätt listar Kommuner och Landsting tre fördelar med molntjänster. De beskrivs som kostnadseffektiva, behovsanpassade och lämpade för mobila arbetssätt. Driftssäkerhet är en ytterligare fördel med molntjänster som lyfts fram av (for Network and ) i en rapport om incidentrapportering för molntjänster.5 4 Molntjänster i staten, En ny generation av outsourcing, , 2015. 5 Cloud Security Incident Reporting – Framework for reporting about major cloud security inci- dents, utgiven av . I rapporten används som exempel. Efter den stora jordbäv- ningen har man allt mer arbetat med molnlösningar, efter- som man ser det som ett sätt att bygga infrastruktur som står emot naturkatastrofer, tack vare möjligheterna att bygga datorhallar på flera olika platser. konstaterar också att molntjänster som an- vänds på rätt sätt har potential att ge bättre skydd mot överbelast- ningsattacker. kan en koncentration av it-resurser till ett fåtal stora datacenter innebära att cyberattacker mot dessa kan få stora följder för samhället. Till fördelarna med en flytt till molnet hör också tjänsteleverantö- rens expertkunskaper, vilka kan medföra att uppgifterna får ett bättre skydd hos molntjänstleverantören än hos den personuppgiftsansva- rige kunden, under förutsättning att kunden förmår ställa rätt krav på leverantören. presenterade en rapport om företagens it-användning. Rapporten visar bland annat att fyra av tio svenska företag köper molntjänster och ungefär hälften så många an- vänder gratistjänster. De vanligaste tjänsterna som företag betalar för är fillagring och e-post.6 Prognoser för framtiden beskriver närmast unisont en stark till- växt för molntjänster på alla fronter. Ett exempel på en sådan prog- nos är en rapport från analysföretaget , som genomfört en enkätundersökning med 1 672 it-beslutsfattare runt om i världen. De tillfrågade beslutsfattarna räknade med att hantera av sina it-miljöer i molnet . Vidare räknade man med att lägga en fjärdedel av sina budgetar på molntjänster av olika slag.7 finns det siffror som tyder på att avslöjanden om massövervakning kommer att få och redan har haft negativa effekter på kundernas benägenhet att anlita moln- tjänstleverantörer som är baserade i . 6 Företagens användning av it 2014, 2014. 7 , Molnflytten ökar takten, publicerad på . varierar i olika bedömningar, exempelvis uppskattar en bedömare de sammanlagda förlusterna för amerikanska företag till över en treårsperiod.8 Ett exempel på en i mycket vanlig molntjänst är Googles Google Apps for Education för skolan. genomförde SVT Västnytt en enkätundersökning bland landets 290 kommuner, varav 123 svarade att de i någon form använder tjänsten. En annan mycket vanlig molntjänst i svenska skolor och högskolor är Microsofts Office 365 som också används av bl.a. . har på uppdrag av regeringen analyserat och värderat potentialen för användning av molntjänster i staten och redovisat vilka risker och hinder som finns förknippade med använd- ning av molntjänster i statlig verksamhet.9 Mycket av det som sägs i rapporten gäller för molntjänster i allmänhet, även om rapporten är skriven ur statlig synvinkel. De potentiella säkerhetsrisker som tas upp i rapporten är bristande insyn och kontroll, otydlighet i ansvar och roller, avvikelser mellan krav och leverans, permanent förlust av data, obehörig åtkomst, risker med delad miljö, otillgängliga moln- tjänster, kompetensförlust, inlåsning, förändringar i leverantörsför- hållanden och inkompatibla säkerhetslösningar. De flesta av dessa risker är relevanta för integritetsskyddet. Vi återkommer till detta i avsnittet nedan om kommitténs samlade bedömning av området. Även fördelarna för statliga verksamheter med användningen av molntjänster beskrivs i rapporten. Molntjänster erbjuder potentiella fördelar som exempelvis kostnadsbesparingar och möjlighet till för- bättrade tjänster och verksamhetsresultat i myndigheter. Vidare sägs att en övergång till molntjänster i många fall också kan innebära att säkerheten förbättras på olika sätt, exempelvis genom bättre säker- hetslösningar eller högre kompetens inom säkerhetsområdet hos leverantören än hos kunden. Avslutningsvis föreslår i rapporten åtta åtgärder för regeringen. 1.Uppdra till svenska myndigheter att analysera hur de kan använda molntjänster för att utveckla verksamheten och göra sig beredda att övergå till molntjänstleveranser – beredda att bli ”cloud ready”. 8 , How Much the U.S. ?, , and . 9 Molntjänster i staten, En ny generation av outsourcing, , 2015. 2.Inrätta ett kompetenscenter för anskaffning och användning av externa it-tjänster, dit både verksamhetsföreträdare och upp- handlare kan vända sig och där även frågor från privata aktörer kan besvaras. 3.Analysera myndigheters digitala mognad. Undersök i vilken mån de har anlagt ett strategiskt perspektiv på molntjänster för sin egen verksamhet, grad av organisatorisk mognad och operativ be- redskap för användning av molntjänster. 4.Fördjupa analysen avseende statliga myndighetsmoln. Undersök intresse och förutsättningar för att inrätta ett eller flera separata myndighetsmolntjänster, s.k. ”gov cloud”. Detta skulle kunna ge möjligheter att förenkla användningen av molntjänster även då det är sekretessbelagd information som hanteras. 5.Utred närmare om det är lämpligt och ändamålsenligt att införa en lagreglerad och straffsanktionerad tystnadsplikt för privata le- verantörer. 6.Prioritera att se över myndigheternas registerförfattningar och genomför nödvändiga författningsförändringar för att säkerställa bättre förutsättningar för myndigheterna att utföra sina uppdrag på ett effektivt och rättsäkert sätt. 7.Ge Myndigheten för samhällsskydd och beredskap i uppdrag att genomföra en riskanalys av användning av molntjänster och andra externa it-tjänster ur ett nationellt perspektiv, och att föreslå eventuella åtgärder. 8.Intensifiera närvaro i frågor som rör molntjänster i EU och andra internationella sammanhang. Ett tvärpolitiskt arbets- sätt som stöder olika politikområden rekommenderas. För att den personuppgiftsansvarige överhuvudtaget ska kunna be- handla personuppgifter krävs att det finns ett stöd för behandlingen i personuppgiftslagen (1998:204) eller annan registerförfattning. Dessutom finns det i personuppgiftslagen vissa krav som är sär- skilt viktiga om den personuppgiftsansvarige anlitar ett biträde som hanterar uppgifterna i en molntjänst. Till att börja med är bestäm- melserna i 30 § personuppgiftslagen om personuppgiftsbiträdesavtal centrala. Andra viktiga bestämmelser för molntjänster är 31 § per- sonuppgiftslagen om säkerhetsåtgärder samt 33–35 §§ personupp- giftslagen om överföring av personuppgifter till tredje land. För statliga myndigheter gäller även Myndigheten för samhälls- skydd och beredskaps föreskrifter om statliga myndigheters infor- mationssäkerhet (MSBFS 2016:1). Datainspektionen har i flera tillsynsärenden utvecklat hur be- stämmelserna i personuppgiftslagen ska tillämpas på molntjänster.10 Av 30 § personuppgiftslagen framgår att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets ledning bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Det ska finnas ett skriftligt avtal (person- uppgiftsbiträdesavtal) om biträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. I det avtalet ska det sär- skilt föreskrivas att biträdet får behandla personuppgifterna bara i enlighet med instruktioner från den personuppgiftsansvarige och att biträdet är skyldigt att vidta de säkerhetsåtgärder som anges i 31 § första stycket personuppgiftslagen. Enligt Datainspektionen ska instruktionerna enligt 30 § person- uppgiftslagen till biträdet om ändamålen med behandlingen utgå ifrån den personuppgiftsansvariges ändamål med sin tänkta hante- ring av personuppgifter. Instruktionerna får inte omfatta befogenhet för biträdet att exempelvis behandla personuppgifterna på ett sätt som inte skulle vara tillåtet för den ansvarige. 10 Se exempelvis Datainspektionens beslut i ärendet 1351-2012, vilket efter överklagande fastställdes av Förvaltningsrätten i (mål nr 15410-13). Ärendet rörde en kommuns användning av molntjänsten Google Apps med funktioner för e-post och kalen- der både för kommunens anställda och för elever i kommunens skolor. Artikel 29-gruppen pekar i sitt yttrande om molntjänster på att det inte är ovanligt att ett typiskt molnscenario omfattar ett stort antal underentreprenörer. Risken för att personuppgifter kan komma att behandlas för andra, oförenliga ändamål måste därför enligt ytt- randet, betraktas som ganska stor. Vidare måste instruktionerna enligt 30 § personuppgiftslagen inne- hålla bestämmelser för biträdet om radering av personuppgifter. En- ligt Datainspektionen ska instruktionerna ha som utgångspunkt att när den ansvarige har markerat personuppgifter för radering ska bi- trädet inom en rimlig tidsperiod påbörja slutlig radering av informa- tionen i fråga. När personuppgifter har markerats för radering får de således inte längre behandlas på annat sätt än som ett led i raderings- processen. Radering av uppgifter innebär här antingen att uppgifterna rade- ras helt från det medium där de lagras eller att de avidentifieras på ett sådant sätt att de inte är möjliga att koppla till en enskild individ eller går att återskapa. När den ansvarige begär radering av uppgifter i en molntjänst sig- nalerar det till biträdet att uppgifterna ska utplånas eller avi- dentifieras. Enligt Datainspektionen är det acceptabelt att biträdets radering av personuppgifter görs med en viss fördröjning. Biträdet ska dock kunna förvissa den ansvarige om att uppgifterna raderas inom en viss angiven tid. Av 31 § andra stycket personuppgiftslagen framgår det att den per- sonuppgiftsansvarige ska förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att biträdet verkligen vidtar åtgärderna.