sou · H4B341 · 2016-06-07 00:00:00 — En angripare som vill komma över kommunikationen kan därför med hjälp av ett program spela in all trafik som rör sig in och ut från en enskild persons dator.18 18 i , IIS, Internetguide nr 30, IT-säkerhet för privatpersoner, version 1.0, 2013, av och . Sociala medier och e-post För att skydda innehållet i meddelanden från antingen förvansk- ning eller insyn används elektroniska signaturer respektive krypte- ring. Det existerar i huvudsak två standardiserade metoder för att skapa elektroniska signaturer eller kryptera innehållet i mejl, S/MIME och PGP. En kryptografisk signatur säkerställer att meddelandet inte för- vanskats från det att signaturen skapades till dess att mottagaren verifierar signaturen på meddelandet. Det görs genom att skapa en kryptografiskt säker checksumma av meddelandet och kryptera denna checksumma med avsändarens hemliga nyckel. Då mottagaren dekrypterar checksumman med avsändarens publika nyckel kan mottagaren dels verifiera att avsändaren också är innehavaren av den privata nyckeln, samt genom att verifiera checksumman också veri- fiera att meddelandet inte har förvanskats på vägen. Ett krypterat meddelande är krypterat med mottagarens (det kan vara flera) publika nyckel, och eftersom modernt krypto är asymmetriskt kan således också bara mottagarna dekryptera meddelandet. signerar man krypterade meddelanden för att bevisa att avsändaren är autentisk. Genom kryptering kan alltså mejlets innehåll skyddas från att läsas av andra än den avsedda mottagaren. Däremot visas fortfarande både avsändarens och mottagarens adresser samt en hel del annan information som till exempel vid vilken tid och vilket datum mejlet skickades. För den som även är mån om att skydda sin och mottaga- rens identiteter, behövs därför fler åtgärder än kryptering, som exempelvis anonyma och temporära mejladresser. För att säkert utbyta information mellan e-postservrar behöver kommunikationen skyddas under transport. TLS (akronym för engelskans , ungefär transportlagersäkerhet på svenska) är en öppen standard för säkert utbyte av krypterad information mellan datorsystem (dvs. till skillnad från kryptering som görs av den enskilde avsändaren och som berörs ovan). TLS används för att kryptera kommunikationen mellan två enheter. Tanken med att skydda den information som utväxlas mellan dessa enheter är att ingen annan på nätverket, till exempel internet, ska kunna avlyssna eller förvanska informationen. TLS erbjuder förutom konfidentialitet (kryptering) även riktighet (dataintegritet), och Sociala medier och e-post beroende på hur det används dessutom äkthetsskydd (källskydd). TLS kan alltså användas vid överföring av mejl (SMTP), vilket är bra i de fall då man inte använder sig av kryptering på meddelandenivå.19 Dagens mejlprogram innehåller också en del funktioner som ökar riskerna för att mejlet skickas fel. Det kan vara namn och e-post- adresser som fylls i automatiskt eller upprättade mejllistor som gör att mejlet oavsiktligt riskerar att skickas till fel mottagare eller till betydligt fler mottagare än avsändaren avsett. Det är också enkelt att förfalska en avsändaradress om inga åtgärder vidtagits för att förhin- dra detta. Inom IETF 20 har standarder utvecklats i syfte att förhindra sådana förfalskningar. DomainKeys Identified Mail (DKIM) är en teknik som genom digitala signaturer skyddar valda delar av e-post- huvudet och innehållet i e-postmeddelandet från modifiering av tredje part. Den viktigaste komponenten som skyddas är avsändar- adressen. Detta för att motverka förfalskade avsändaradresser i syfte att förhindra nätfiske och andra typer av attacker. Enligt Datainspektionen har teknikutveckling inneburit att resonemang kring ”interna” mejl (dvs. tanken att mejl som skickas inom en organsation inte kan läsas av obehöriga utanför organisationen) allt mer har förlorat sin relevans. Anledningen till detta är bl.a. att om det finns funktioner för webbmejl, innebär dessa så gott som alltid att mejlen görs tillgänglig via ett öppet nät. Detsamma gäller om vissa tjänster, till exempel antivirusfunktioner eller spamtvätt, tillhandahålls av en extern leverantör. Om hela eller delar av drift, administration eller underhåll av mejlsystemet läggs ut på en extern part, ett personuppgiftsbiträde, tillkommer frågor om hur denne går till väga för att logga in till e-postsystemet. Funktioner för distansadministration används ofta över öppet nät.21 Trots de inbyggda säkerhetsbristerna i tekniken, används e-post mycket flitigt på många håll i samhället. E-post är den mest använda tjänsten för att skicka meddelanden över nätet och är alltså fortfarande vanligare än att skicka meddelanden genom sociala nät- 19 Rapporten med kvalitet och finess – vad och hur gör man? publicerad av i , IIS, författad av . 20 Internet Task Force (). 21 Säkerhet för personuppgifter i e-post. lagar-och-regler/personuppgiftslagen/sakerhet-enligt-personuppgiftslagen/sakerhet-for-per- sonuppgifter-i-e-post/ Hämtat . Sociala medier och e-post användes e-post av av alla internetanvändare i (siffran gäller personer , även om e-post också används av yngre barn). Mejlteknikens tillförlitlighet när det gäller att snabbt leverera meddelanden, medför att den också är en mycket vanlig kommuni- kationsform på många arbetsplatser, även myndigheter. Vi har inte funnit några undersökningar som visar hur vanligt det är att känsliga personuppgifter mejlas okrypterat på arbetsplatser och myndigheter. Det finns dock anledning att anta att detta inte är något ovanligt fenomen, mot bakgrund av hur vanlig och lättanvänd tekniken är. Tittar man dessutom på hur begränsad användningen av kryptering faktiskt är så stärks det antagandet ytterligare. Datainspektionen har i flera tillsynsärenden konstaterat att personuppgiftsanvariga företag och myndigheter saknat tillräckligt tydliga policyer för sin hantering av personuppgifter i e-post.23 Personuppgiftslagens (1998:204) bestämmelser gäller för det sociala mediets hantering av personuppgifter. Av särskild betydelse är i detta sammanhang personuppgiftslagens bestämmelser om ändamålsbe- gränsning, samtycke, information och säkerhetsåtgärder. När enskilda användare publicerar uppgifter om andra personer på ett socialt medium, är det i regel 5 a § i personuppgiftslagen som ska tillämpas. Enligt Datainspektionen innebär bestämmelsen att om personuppgifter publiceras i en löpande text på internet, till exempel i en blogg, är publiceringen i princip tillåten så länge man inte kränker den som personuppgifterna handlar om. Det är inte möjligt att gene- rellt slå fast vad som är en kränkning av den personliga integriteten utan man måste göra en bedömning i varje enskilt fall och väga in samtliga omständigheter. Faktorer som påverkar bedömningen är bland annat syftet med publiceringen, vilka uppgifter som publiceras, 22 Svenskarna och internet, undersökning av svenska folkets internetvanor, utgiven av i , IIS, författad av och . Datainspektionens beslut med dnr 752-2011 samt beslut med dnr 1713-2013. I dessa ärenden granskades ett universitets rutiner för hantering av känsliga personuppgifter i e-post. Sociala medier och e-post var dessa publiceras, vilken information som har lämnats och hur länge uppgifterna publicerats på internet. Hur den vars uppgifter publiceras själv upplever publiceringen kan vara av betydelse, men är inte avgörande för om det ska anses vara fråga om kränkning i per- sonuppgiftslagens mening. Att publicera personuppgifter i syfte att skandalisera eller ”hänga ut” någon är tydliga exempel på publicering som normalt är kränkande enligt personuppgiftslagen.24 När det gäller mejl, är det särskilt 31 § personuppgiftslagen som är aktuell. Enligt denna bestämmelse, såsom den tolkats i praxis, gäller generellt att känsliga personuppgifter som kommuniceras över öppna nät, som exempelvis internet, ska skyddas på ett sådant sätt att obehöriga inte kan ta del av uppgifterna. Det gäller även för mejl och innebär i praktiken att känsliga personuppgifter i mejl ska kryp- teringsskyddas på ett sådant sätt att endast den avsedda mottagaren kan ta del av dem. lämnade Utredningen om ett modernt och starkt straffrättsligt skydd för den personliga integriteten betänkandet Integritet och straffskydd.25 I betänkandet föreslås bl.a. en ny straff bestämmelse om s.k. olaga integritetsintrång i 4 kap. . Den föreslagna bestämmelsen innebär ett straffansvar för den som gör intrång i någon annans privatliv genom att sprida bild eller annan uppgift på ett sätt som är ägnat att medföra kännbar skada för den som uppgiften rör. Sociala medier utanför svensk jurisdiktion Personuppgiftslagen gäller endast för sådana personuppgiftsansva- riga som är etablerade i , samt för personuppgiftsansvariga i tredje land som använder sig av utrustning som finns i för att behandla personuppgifter. 24 Datainspektionens broschyr Publicering på Internet, daterad . 25 SOU 2016:7. Sociala medier och e-post Det betyder att sociala medier som inte är etablerade i , och som heller inte använder sig av exempelvis en server som finns i , inte behöver tillämpa personuppgiftslagen, även om det är uppgifter om personer som finns i som hanteras i det sociala mediet. Andra länders lagstiftning kan då komma att gälla. I exem- pelvis regleras hanteringen av personuppgifter i sociala medier av lagstiftning på federal nivå, endast om det är frågan om uppgifter om barn . Då gäller den s.k. COPPA (Children’s Online Privacy Protection Act). Lagen innehåller bl.a. bestämmelser om information till vårdnadshavare och inhämtande av samtycke från vårdnadshavarna. För uppgifter om vuxna eller äldre barn saknas det på federal nivå en motsvarighet till EU:s relativt heltäckande dataskyddsdirektiv, både för sociala medier och för uppgifter om konsumenter överhuvudtaget. Många sociala medier hanterar uppgifter i , även om sina euro- peiska kunder. Ett utlämnande av uppgifter till s.k. tredje land (land utanför EES-området) regleras i personuppgiftslagens 33–35 §§. Huvudregeln är att tredjelandsöverföring är förbjuden till länder som inte har en adekvat nivå för skyddet av personuppgifter. Överföring var tidigare dock tillåten till bolag i som är anslutna till Safe Harbor-principerna, eftersom beslutat att skyddsnivån i sådana fall skulle anses som adekvat. Systemet med Safe Harbor-principerna inbegriper ett antal principer angående skydd för personuppgifter vilka amerikanska företag frivil- ligt kan ansluta sig till, enligt beslut.26 har dock ogiltigförklarat kommissionens beslut.27 I målet var frågan om en österrikisk medborgare som invänt mot att Facebook överför uppgifter om honom till . Som skäl för avgörandet anför bl.a. följande. Systemet med Safe Harbor-principerna är endast tillämpligt för de amerikanska 26 Kommissionens beslut /520/EG av enligt och rå- dets direktiv /46/EG om huruvida ett adekvat skydd säkerställs genom de principer om in- tegritetsskydd (Privacy Principles) i kombination med frågor och svar som utfärdat (EGT L 215, s. 7). 27 dom i mål C-362/14, mot Data Protection Commissioner. Sociala medier och e-post företag som anslutit sig till det. myndigheter är inte själva bundna av det. Vidare har krav i fråga om den nationella säkerheten i företräde framför Safe Harbor- systemet. Detta innebär att amerikanska företag är skyldiga att utan inskränkningar frångå systemets skyddsregler när de står i konflikt med sådana krav. Det amerikanska Safe Harbor-systemet möjliggör således ingrepp från de amerikanska myndigheternas sida i enskilda personers grundläggande rättigheter. I kommissionens beslut anges att det i varken finns regler som syftar till att begränsa sådana eventuella ingrepp, eller något effektivt rättsligt skydd mot dessa. Vidare påpekar att en lagstiftning i vilken det inte föreskrivs någon möjlighet för enskilda att använda rättsmedel för att erhålla tillgång till, rätta eller radera uppgifter som rör dem, krän- ker det väsentliga innehållet i den grundläggande rätten till effektivt domstolsskydd, eftersom en sådan möjlighet är en grundförutsätt- ning för en rättsstat. dom innebär att en överföring av personuppgif- ter från ett EU-land till kan göras enbart med stöd av att det mottagande företaget i är anslutet till Safe Harbor- principerna. Som en följd av detta, enades och på ett övergripande plan om en ny ordning för transatlan- tiska dataflöden, kallad för ”sköld för skydd av privatlivet” (på engel- ska privacy shield). Artikel 29-gruppen har granskat dokumenten som ligger till grund för överenskommelsen och välkomnar de för- bättringar som den innehåller jämfört med Safe Harbour-principerna. Artikel 29-gruppen hyser dock stora betänkligheter på en rad punk- ter beträffande både de kommersiella aspekterna och beträffande myndigheternas åtkomst, när uppgifter överförs med stöd av den nya överenskommelsen. Artikel 29-gruppen uppmanar därför Kommissionen att lösa de utestående problemen med överenskom- melsen och förbättra den så att den ger ett skydd som motsvarar EU:s dataskyddsregler.28 28 Statement of the Article 29 Working Party on the opinion on the EU-U.S. Privacy Shield, . Sociala medier och e-post Lagen om avtalsvillkor i konsumentförhållanden Även lagen (1994:1512) om avtalsvillkor i konsumentförhållanden kan bli tillämplig på hanteringen av personuppgifter i sociala medier. Enligt lagen kan oskäliga avtalsvillkor förbjudas. Exempel på oskäliga avtalsvillkor är villkor som leder till en så stor nackdel för konsu- menten att det inte blir en rimlig balans mellan näringsidkarens och konsumentens rättigheter, till exempel när endast näringsidkaren kan säga upp avtalet. Som oskäliga anses också villkor som är vilsele- dande eller oklart formulerade och innebär att konsumenten blir vilseledd om sina rättigheter, till exempel villkor som är motsägelse- fulla eller ofullständiga. I har konsumentskyddsmyndigheten des abusives formulerat rekommendationer för hur soci- ala medier bör utforma sina avtalsvillkor. Flera av rekommendatio- nerna rör avtalsvillkor om hanteringen av personuppgifter. Myndigheten pekar inledningsvis på problemet att sociala medier vill få konsumenten att tro att deras tjänster är helt och hållet gratis och att det inte förväntas någon motprestation av konsumenten som använder sig av mediet, medan motprestationen i själva verket består av de personuppgifter som användarna lämnar till det sociala mediet. Därefter rekommenderar myndigheten bland annat att avtalsvillkor inte ska innehålla formuleringar som får konsumenten att tro att hennes eller hans personuppgifter får lämnas ut till ospecificerade tredje parter, utan att samtycke inhämtas i förväg eller att konsu- menten åtminstone i efterhand kan komma med invändningar mot utlämnandet. Det finns inga motsvarande rekommendationer om sociala mediers avtalsvillkor om personuppgifter från det svenska . 13.4Kommitténs samlade bedömning av området En stor del av landets befolkning, särskilt yngre och kvinnor, använ- der sociala medier för att lagra och publicera en mycket stor mängd uppgifter och för att utbyta privat information med andra användare. Sociala medier och e-post Sociala medier kan föra med sig många fördelar för de enskilda användarna, i form av exempelvis nya möjligheter till både kunskap och utbyte med andra. Ur ett integritetsskyddsperspektiv finns det emellertid även en rad risker med användningen av sociala medier. Användarvillkor är ofta långa och krångligt skrivna. Även i de få fall då användaren faktiskt tagit del av villkoren, är dessa inte sällan så otydliga att många användare inte ens förstår vilka andra användare som kan ta del av uppgifterna han eller hon har publicerat på det sociala mediet, och än mindre för vilka egna ändamål som det sociala mediet kan använda sig av uppgifterna. Användarvillkoren är också ofta vaga när det gäller till vilka samarbetsparter det sociala mediet får sprida uppgifterna och hur dessa får vidareanvändas. Användarvillkoren kan också innehålla oklarheter beträffande hur länge uppgifterna lagras i någon form hos det sociala mediet. Mot den bakgrunden kan det ofta vara mycket svårt för en enskild använ- dare att bilda sig en egen uppfattning om vilka konsekvenser för den personliga integriteten som användningen av det sociala mediet fak- tiskt innebär. Särskilt allvarlig är den risken när det gäller unga, som kan vilja lagra och publicera texter och bilder som de senare i livet skulle vilja radera från nätet, men som kanske inte kommer att ha den möj- ligheten, på grund av villkor som en gång accepterats, eller på grund av att uppgifterna har spridits till tredje parter hos vilka varken användaren eller det sociala mediet har något som helst inflytande över hur uppgifterna används. Ett specialfall av detta är situationen då uppgifter om mycket unga personer lagras eller publiceras av deras föräldrar. När barnen efter hand blir medvetna om hanteringen av uppgifter om dem, kom- mer det i de flesta fall vara omöjligt för dem att hindra eller ens överblicka spridningen och användningen av uppgifterna. Förutom att hanteringen är svår att överblicka utifrån användar- villkoren, ger villkoren ofta mycket fria händer åt det sociala mediet att använda sig av uppgifterna för egna ändamål. Särskilt när möjlig- het finns att tillföra andra stora mängder uppgifter till uppgifterna från det sociala mediet och sambearbeta dessa, blir det i praktiken omöjligt för användaren att i förväg veta för vilka ändamål uppgif- terna kan komma att användas. Sociala medier och e-post I och med att ny teknik utvecklas kommer alla uppgifter som lagras och publiceras i sociala medier att kunna användas för en allt mer detaljerad och närgången kartläggning bortom användarnas kännedom eller kontroll. Eftersom sociala medier oftast är baserade på molntjänster som hanterar uppgifterna utanför EES, finns det också en stor risk för att uppgifter om användarna hamnar i länder där lagstiftningen ger ett otillräckligt skydd. Det kan leda till att exempelvis underrättelse- tjänster eller andra myndigheter och organisationer utanför EES lagligen kan få åtkomst till uppgifterna för ändamål och på ett sätt som inte hade varit lagligt i eller i något annat land inom EES. Användningen av vissa sociala medier kan medföra att ett stort antal närgångna uppgifter om den enskilde oavsiktligen exponeras för andra användare. Vidare förekommer det att sociala medier använder uppgifterna för egna ändamål och sprider dem vidare till andra företag. Vanligtvis är det också svårt för användarna att få klar- het i vilken hantering som kan förekomma, när användarvillkoren väl har godkänts. Den enskildes valmöjlighet är ofta begränsad till att antingen godkänna samtliga villkor, eller att avböja och därmed helt ställa sig utanför det sociala mediet. Sammantaget anser kommittén att användningen av sociala medier som har de nämnda egenska- perna innebär en allvarlig risk för den personliga integriteten. måste också beaktas att även sådana sociala medier kan medföra en mycket stor nytta för den enskilde och för samhället i stort, och att många tjänster är mycket populära bland användarna. En annan risk för den enskildes personliga integritet ligger i vad användare av sociala medier kan skriva och publicera om andra per- soner. Genom internet och annan elektronisk kommunikation har möjligheterna för enskilda att sprida integritetskränkande uppgifter om andra ökat väsentligt. Nya skyddsintressen har därför uppkom- mit och medfört ett väsentligt ökat behov av ett bättre utformat straffrättsligt skydd för privatlivet och den personliga integriteten. Med den motiveringen föreslås i betänkandet Integritet och straff- skydd 29 en ny straffbestämmelse om s.k. olaga integritetsintrång som tar sikte på kränkningar som enskilda personer begår mot andra enskilda. 29 SOU 2016:7. Sociala medier och e-post Om oskyddad e-post används för att skicka integritetskänsliga uppgifter, innebär det att uppgifterna kan användas för egna ändamål av de företag som vidarebefordrar meddelandet, även om det görs i strid mot lag. Vidare kan antagonistiska aktörer få åtkomst till upp- gifterna genom t.ex. avlyssning. Många organisationer har policyer som ska begränsa möjligheterna att i mejl skicka integritetskänsliga uppgifter om enskilda, men dessa policyer är inte sällan otydliga och dessutom är det svårt att kontrollera hur de följs. Sammantaget bedömer kommittén därför att användning av e-post innebär en påtaglig risk för den personliga integriteten. Kommitténs bedömning: Det finns påtagliga risker för den per- sonliga integriteten i samband med försäkringsföretagens verk- samhet. Den framtida hanteringen av personuppgifter inom försäkrings- verksamheten kan innefatta allvarliga risker för den personliga in- tegriteten. 14.1Om försäkring och hantering av personuppgifter 14.1.1Vad är försäkring? Försäkring är ett sätt för en individ att hantera en osäkerhet. I utbyte mot en liten, men känd, kostnad skyddar en försäkring mot en stor ekonomisk förlust som kan uppstå, . En av de grundläggande tankarna med en försäkring är att den ska verka ris- kutjämnande mellan en grupp personer. Eftersom alla försäkrade inte exponeras för samma risker varierar premien bland de försäk- rade. Premien på en livförsäkring påverkas exempelvis av ålder, en fordonsförsäkring av årlig körsträcka och bostadsort. Däremot är det inte längre tillåtet att låta försäkringstagarens kön påverka storle- ken på premien. I betänkandet Lönegarantiförsäkring – en partsfråga1, förklaras försäkring så här: Försäkring innebär tekniskt sett en utjämning över tiden och över kollek tivet av slumpmässigt uppträdande av förluster bland dem som ingår i ett kollektiv. I försäkring tillämpas de stora talens lag; ju större och mer likartad 1 Utredningens om finansieringen av lönegarantin betänkande Lönegarantiförsäkring – en partsfråga, SOU 2004:93. en grupp är desto säkrare kan man beräkna framtida ersättningar och vilken premie som krävs. Gruppen behöver i regel också bygga upp reserver för slumpmässiga variationer i skadefrekvens och skadestorlek. ”De stora talens lag” är en del av sannolikhetsläran och ett i sam- manhanget viktigt begrepp. För försäkringsföretag är det givetvis av största betydelse att ha bra matematiska modeller för vilka försäk- ringsfall som kommer att uppstå. Och ju bättre underlaget för modellerna är, desto träffsäkrare blir prognoserna. 14.1.2Behov av behandling av personuppgifter inom försäkringsföretagen Försäkringsföretagen behöver behandla personuppgifter för premie- beräkning, statistik, marknadsföring, skadereglering och för före- byggande av skador. Vidare används personuppgifterna för att uppfylla skyldigheter enligt lag och andra författningar, till exempel försäkringsrörelselagen (2010:2043), finansinspektionens författ- ningar och skattelagstiftningen. Personuppgifterna används också för exempelvis utredning av oklara försäkringsfall. Behandlingen av personuppgifter hos försäkringsföretag regleras i första hand i personuppgiftslagen (1998:204). Regleringen i person- uppgiftslagen behandlas närmare i kapitel 6, Det grundläggande rättsliga skyddet. Den allmänna regleringen i personuppgiftslagen kompletteras av vissa bestämmelser som tar sikte på försäkringsföretagens verksam- het, t.ex. i försäkringsrörelselagen och försäkringsavtalslagen (2005:104). Där finns bestämmelser som t.ex. reglerar den upplys- ningsplikt som försäkringstagaren har mot försäkringsföretaget avseende uppgifter som har betydelse för avtalet och om under vilka förutsättningar företaget får hämta in samtycke från försäkringsta- garen till att hämta in uppgifter om den enskildes hälsotillstånd. Det finns inga generella sekretessbestämmelser som gäller för hantering av personuppgifter hos försäkringsföretag. Däremot til - lämpas inom försäkringsbranschen en frivilligt påtagen tystnads- plikt.2 När det gäller uppgifter om genetisk undersökning eller genetisk information finns det dock en lagstadgad tystnadsplikt i försäkringsrörelselagen.