sou · H4B341 · 2016-06-07 00:00:00 — Kunskapen är exempelvis värdefull när det gäller att bedöma dels behov av ny lag- stiftning, dels effekterna av befintlig lagstiftning och andra åtgärder som innebär att enskilda registreras eller kartläggs. Också företag och myndigheter kan ha nytta av större kunskap och överblick, för att bättre förstå den egna rollen och få en ökad medvetenhet om sina möjligheter och skyldigheter i det digitalise- rade samhället och hur dessa ständigt förändras. Även enskilda per- soner behöver kunna bilda sig en uppfattning om vilka aktörer som samlar in deras personuppgifter och hur uppgifterna sedan används och sprids vidare. Kunskap om detta kan bidra till att enskilda blir mer medvetna om sina rättigheter och bättre kan bedöma behovet av att vidta åtgärder för att skydda sina uppgifter. Förslag om ökad information till regering och riksdag Det finns alltså ett stort behov för staten och även samhället i övrigt av en samlad överblick över utvecklingen och dess effekter. Det finns flera statliga myndigheter som arbetar med tillsyn av integritetsskydd. Tillsynen rör dock hur uppgifter hanteras i enskilda fall hos företag, organisationer och andra myndigheter. Tillsyns verksamheterna innebär att tillsynsmyndigheterna får goda kunska- per om sina respektive ansvarsområden, men leder inte med nödvän- dighet till att tillsynsmyndigheterna kan skapa sig en övergripande och sammanlagd bild av hur omfattande kartläggningen och över- vakningen av enskilda faktiskt är och hur den går till i praktiken. Det gäller även Datainspektionen, trots att den myndigheten i och för sig har i uppdrag att bl.a. följa och beskriva utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik. Det finns alltså ett behov av att säkerställa att någon myndighet följer utvecklingen på ett mer övergripande plan och sammanfattar och analyserar nya trender, tekniker och användningsområden samt även hur de legala förutsättningarna löpande förändras. Ett lämpligt sätt för en myndighet att åstadkomma detta är att myndigheten regelbundet tar fram och offentliggör en sammanfatt- ning och analys av den mest aktuella och betydelsefulla utvecklingen som påverkar den personliga integriteten. En sådan sammanställning och analys skulle t.ex. kunna innehålla redogörelser för ny teknik som ännu inte kommit till användning men är under utveckling, nya företeelser och tillämpningar i , intressanta händelser i andra länder, ny lagstiftning och förslag till lagstiftning, lagförslag som blivit liggande men som är önskvärda för att stärka integriteten samt även redogörelser för områden där det finns intressekonflikter mellan den operativa verksamheten och företrädare för integritetsin- tresset. Det vore vidare önskvärt med en analys av den sammantagna effekten som utvecklingen har eller kan få för enskildas personliga integritet och för samhällsutvecklingen i stort. Den ansvariga myn- digheten bör ges möjlighet att närmare bestämma rapportens inne- håll; exempelvis är det troligen mer meningsfullt att koncentrera rapporten till några områden eller företeelser som förtjänar särskild uppmärksamhet, snarare än att eftersträva att den ska behandla all verksamhet i samhället där personuppgifter hanteras. Rapporten bör tas fram och lämnas till regeringen. Förslag om ökad information till regering och riksdag risker för den personliga integriteten, kan rapporten fungera som underlag för prioriteringar och som väckarklocka, såväl i förhållande till regeringen som till andra intressenter. Utöver att regeringen tar del av rapporten, bör det även införas en ordning där regeringen överlämnar rapporten till i form av en skrivelse som även innehåller regeringens egna kommentarer till rapporten. En sådan ordning – att regeringen i en årlig skrivelse till informerar om utvecklingen och det aktuella tillståndet rörande skyddet för den personliga integriteten – ansåg att regeringen borde överväga. Med en sådan ordning skulle få en samlad bild över vilka förslag som har lämnats och vilka åtgärder av betydelse för integritetsskyddet som har genomförts eller borde genomföras. Andra fördelar som lyftes fram var att integritetsskyddsfrågorna skulle få en politisk tyngd som de dittills saknat samt att arbetet med att ta fram underlag för skrivelsen skulle ge regeringen särskild anledning att åstadkomma samordning och skapa överblick över integritetsskyddsfrågorna inom samtliga politikområden. förslag att regeringen borde överväga en årlig skrivelse av detta slag, har inte lett till någon åtgärd. Vi noterar i sammanhanget att justitieutskott5 i en närliggande fråga, gällande regeringens årliga redovisning till riksda- gen om hemlig avlyssning av elektronisk kommunikation, uttryckt att det är ett viktigt intresse från demokratisk synpunkt att diskus- sionen om enskildas integritet i förhållande till myndigheterna alltid hålls levande, inte minst mot bakgrund av den utveckling som har lett till att det nu finns teknik som innebär betydligt större risker för integritetskränkningar . En minskad vaksamhet när det gäller integritetsfrågor kunde enligt utskottet leda till en avtrubb- ning i den allmänna uppfattningen att integritetskränkningar endast undantagsvis kan godtas i ett samhälle av den typ vi har. 1981/82:JuU54. Förslag om ökad information till regering och riksdag anser att justitieutskottets uttalande är i hög grad aktuellt även , också när det gäller privata företags och organisationers hantering av personuppgifter. Även en återkom- mande diskussion i om den personliga integriteten är allt- jämt önskvärd. Mot den bakgrunden och även av de skäl som anför- des av , anser vi att regeringen i en årlig skrivelse till ska informera om utvecklingen och det aktu- ella tillståndet när det gäller frågor som rör personlig integritet, informationsteknik och de legala förutsättningarna för integritets- skyddet. Regeringen bör i detta arbete utgå från den ansvariga myndighetens årliga rapport och därutöver redovisa sin egen bedöm- ning av utvecklingen. Vi föreslår att denna ordning realiseras genom att regeringen årli- gen fattar ett beslut att lämna en skrivelse av detta slag till . 24.5.5Uppdraget att redovisa utvecklingen Frågan är då vilken myndighet som bör ges uppdraget att ta fram en redovisning över utvecklingen på it-området när det gäller frågor som rör personlig integritet. En möjlighet är att det inrättas en ny fristående myndighet för uppdraget. En sådan myndighet skulle exempelvis kunna vara upp- byggd med som förebild. Den myndigheten har bl.a. i uppgift att genom rådgivande verksamhet främja en etiskt för- svarbar och säker användning av gentekniken så att människors och djurs hälsa och miljön skyddas. Myndigheten leds av en nämnd som sammanträder . Nämnden består av en ordförande och en vice ordförande som är jurister med domarerfarenhet, åtta företrädare för de politiska partierna samt sju sakkunniga ledamöter. Myndigheten har ett kansli som består av en kanslichef, en handläg- gare och en kanslisekreterare. En annan möjlighet är att uppdraget ges till en redan befintlig myndighet. Ytterligare möjligheter är att det för uppdraget inrättas ett självständigt råd, i form av en myndighet, som inryms i en värd- myndighet, eller att uppdraget ges till ett universitet eller annat forskningsorgan. Förslag om ökad information till regering och riksdag En ny fristående myndighet innebär kostnader både för personal som ska utföra uppdraget och för personal som sysslar med de admi- nistrativa arbetsuppgifter som krävs på en självständig myndighet, som exempelvis registratur, lönehantering och årsredovisningar. Vidare tillkommer kostnader för lokalhyra samt för telefoner, dato- rer, internetanslutning och liknande. En fristående myndighet skulle få lägga en ansenlig del av sin ar- betstid på att kommunicera med den centrala myndigheten på områ- det som är Datainspektionen, för att löpande inhämta information om inspektionens arbete och erfarenheter. I praktiken skulle en fri- stående myndighet i mångt och mycket vara beroende av Datainspektionen för att kunna utföra sitt uppdrag på ett bra sätt. En fristående myndighet skulle emellertid vara fri att göra sina egna bedömningar och prioriteringar, och i det hänseendet vara oberoende i förhållande till Datainspektionen och andra tillsyns- myndigheter. Vidare kräver uppdragets utförande till viss del annan kompetens än sådan som finns samlad hos någon befintlig myndighet. Ett självständigt råd i en värdmyndighet skulle medföra lägre kostnader för administration och vissa andra poster, jämfört med en ny fristående myndighet, men har i övrigt samma för- och nackdelar som en sådan myndighet. Även ett universitet eller annat forskningsorgan skulle vara fritt att göra sina egna bedömningar och prioriteringar, och i det hänseen- det vara oberoende i förhållande till Datainspektionen och andra tillsynsmyndigheter. eller annat forskningsorgan som upphovsman till rapporten skulle även kunna öka den vetenskapliga trovärdigheten. Å andra sidan finns det en risk för att rapporten då också skulle bli smalare och mindre praxisorienterad än om en annan myndighet gavs uppdraget. Vidare skulle valet av universitet eller forskningsorgan komma att påverka rapportens innehåll beroende på vilken forskningsinriktning det aktuella eller forsk- ningsorganet har. Likaså kan antas att även ett universitet eller annat forskningsorgan skulle vara i hög grad beroende av stöd från Datainspektionen för att inhämta det underlag som behövs för att utföra uppdraget. Om uppdraget i stället skulle ges till en redan befintlig myndig- het, ligger det närmast till hands att välja Datainspektionen som är den centrala myndigheten när det gäller integritetsskydd. Förslag om ökad information till regering och riksdag Det föreslagna uppdraget kan utan tvekan sägas ligga i linje med vad Datainspektionen gör. Myndigheten ska enligt sin gällande instruktion följa och beskriva utvecklingen på it-områ- det när det gäller frågor som rör integritet och ny teknik. Hos Datainspektionen finns också en stor kompetens och erfarenhet av integritetsskyddsfrågor samlad. Den kompetensen och erfarenheten skulle kunna användas till att utföra det nya uppdraget, med viss förstärkning som kommittén återkommer till nedan. Arbetet med att ta fram rapporten skulle dessutom ge Datainspektionen erfaren- heter och kunskaper som kan komma till nytta i myndighetens till- synsarbete. Datainspektionen skulle i arbetet med att ta fram rapporten också kunna dra nytta av sina redan etablerade kontakter med andra myndigheter som arbetar med omvärldsbevakning av integritetsskyddsfrågor, som exempelvis Myndigheten för samhälls- skydd och beredskap och . Vidare skulle de extra kostnader, som det aktuella uppdraget skulle medföra för Datainspektionen, vara betydligt mindre än de sammanlagda kostna- der som uppkommer i en ny och fristående myndighet eller i ett självständigt råd under en värdmyndighet. Vid en samlad bedömning av frågan om uppdragets placering, anser vi att det är mest lämpligt och kostnadseffektivt att ge Datainspektionen uppdraget att vara den myndighet som ska följa utvecklingen och förmedlar en övergripande bild av dess effekter. Det kan enkelt åstadkommas genom en justering i förordningen (2007:975) med instruktion för Datainspektionen. 24.5.6Inget rådgivande organ vid Datainspektionen Ett uppdrag att följa och beskriva utvecklingen på området ställer höga krav på Datainspektionen, särskilt med hänsyn till utveckling- ens uppskruvade hastighet. Ett sätt att ge stöd åt Datainspektionen kunde vara att till myn- digheten knyta ett rådgivande organ bestående av personer med erfarenhet från relevanta områden. Ett sådant råd skulle framför allt kunna bistå myndigheten i arbetet med att följa, analysera och beskriva utvecklingen för den personliga integriteten när det gäller att ta fram den årliga rapporten som föreslås här. Rådet skulle också kunna bistå myndigheten i annat arbete, t.ex. att ge råd angående Förslag om ökad information till regering och riksdag områden där det kan behövas särskilda åtgärder i form av informa- tionskampanjer eller i form av möten med branschföreträdare. Dessutom skulle rådet kunna tänkas bistå myndigheten i arbetet med att ta fram separata rapporter som kan behövas för att särskilt belysa och uppmärksamma situationen inom ett visst område, vilket kan göras både på myndighetens eget initiativ eller på uppdrag av re- geringen. Det kan tilläggas att ett råd av detta slag skulle ha ett annat syfte än ett insynsråd, vars uppgift är tillgodose behovet av demokra- tisk insyn och medborgerligt inflytande i myndighetens verksamhet. Ledamöterna i rådet kan komma från olika verksamhetsområden. De skulle också kunna förutsättas behålla sin självständighet och sitt externa perspektiv i förhållande till Datainspektionen. Ett råd kan även bidra till att rapporten ger en allsidig och objektiv belysning av aktuella frågor. Rådet skulle kunna bestå av experter på t.ex. teknikutveckling, teknikanvändning och lagstiftningsarbete (här benämnt expertråd). Ett annat alternativ är att rådet består av medlemmar som snarare representerar olika myndigheter och organisationer (här benämnt representationsråd) vilka skulle kunna ge rapporten en ökad tyngd och trovärdighet. Det finns dock ett antal nackdelar och risker med att inrätta ett råd vid Datainspektionen. Den kompetens som behövs för samman- ställningen och analysen kommer säkerligen att variera , beroende på vilka frågor och tekniker som är aktuella för tillfället. Det är inte särskilt troligt att medlemmarna i ett råd fortlöpande skulle kunna besitta just de specialistkunskaper som behövs för att beskriva och analysera de frågor som är av störst intresse för rapporten under ett visst år. Det gäller i synnerhet för ett expertråd, men även för ett representationsråd eftersom det inte är givet att de organsationer som finns representerade i rådet har den bästa och nyaste kunskapen på alla områden som kan bli aktuella. Om rådet inte har nödvändiga expertkunskaper, kommer det inte kunna ge något betydande bidrag till myndighetens arbete med rapporten. Datainspektionen måste då vända sig till andra externa specialister eller förlita sig enbart på egen personal. Rådet skulle i värsta fall utgöra mer av en belastning än en tillgång för myndigheten, eftersom ett råd kommer att innebära kostnader för Datainspektionen i form Förslag om ökad information till regering och riksdag av både tid och utgifter. I detta sammanhang kan nämnas att norska Datatilsynet utarbetar sin rapport till utan bistånd av något rådgivande organ. Det är också osäkert i vad mån ett råd skulle öka rapporternas trovärdighet och status eftersom det i första hand bör vara rappor- ternas innehåll och kvalitet som blir avgörande för deras trovärdig- het, snarare än vilka personer eller organisationer som medverkat i framtagandet. Även utan ett råd kan regeringen uppdra åt Datainspektionen att inhämta synpunkter, erfarenheter och annat stöd från omvärlden inför framtagandet av sina rapporter. Det är vidare inte fullständigt klarlagt om ett råd knutet till Datainspektionen skulle vara förenligt med dataskyddsdirektivets krav att de nationella tillsynsmyndigheterna ska vara fullständigt oberoende när de utövar de uppgifter som åläggs dem i nationell lag- stiftning (artikel 28.1). Kravet på oberoende tillsynsmyndigheter markeras ännu tydligare i den antagna dataskyddsförord- ningen6 där frågan om oberoende tillägnas en egen artikel (artikel 52). Vid en samlad bedömning av frågan om ett råd vid Data inspektionen, anser kommittén att det är tveksamt om ett sådant skulle fylla någon viktig funktion. Vi föreslår därför inte att ett sådant råd ska inrättas. Uppdragets genomförande innebär en omfattande omvärdsbevak- ning. Datainspektionen ska sedan i rapportform sammanställa och analysera observationer från omvärldsbevakningen. Vidare ska inne- hållet i rapporten kommuniceras till aktuella intressenter. Hos Datainspektionen kommer uppdraget därför att kräva arbetsinsatser av personal med kompetens inom omvärldsanalys, it- säkerhet, juridik, webb och kommunikation samt administration m.m. Därtill kommer det sannolikt krävas anlitande av konsulttjänster, t.ex. inom specialområden där myndigheten saknar tillräcklig kom- petens. 6 och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) Förslag om ökad information till regering och riksdag Sammantaget uppskattar kommittén att uppdragets utförande skulle kräva en kvalificerad årsarbetskraft, motsvarande cirka en mil- jon kronor kostnadsläge. 25 Konsekvenser av våra förslag Enligt kommittéförordningen (1998:1474) ska det i ett betänkande som innehåller nya eller ändrade regler också anges konsekvenser av dessa. Förordningen föreskriver att en sådan konsekvensanalys ska genomföras om förslagen har betydelse för den kommunala självsty- relsen, för brottsligheten, för sysselsättningen och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkur- rensförmåga eller villkor i övrigt i förhållande till större företag, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. I detta kapitel redogörs i korthet för be- dömning vad gäller ekonomiska konsekvenser med mera. föreslår i detta delbetänkande att Datainspek- tionens uppdrag att följa och beskriva utvecklingen på it-området när det gäller frågor som rör personlig integritet och ny teknik ska utvidgas till att även omfatta de legala förutsättningarna för integri- tetsskyddet, samt till att omfatta en skyldighet att analysera utveck- lingen. Datainspektionen ska också till regeringen lämna en redovisning om utvecklingen inom området. Vidare föreslår kom- mittén att regeringen i en årlig skrivelse till ska informera om utvecklingen och det aktuella tillståndet när det gäller frågor som rör personlig integritet, informationsteknik och de legala förutsätt- ningarna för integritetsskyddet. Konsekvenser av våra förslag Kommittén har alltså lämnat förslag om ett utvecklat myndighets- uppdrag för Datainspektionen. Detta förslag har påverkan på myn- dighetens resursbehov och förvaltningsanslag. Sammantaget uppskattar kommittén att uppdragets utförande skulle kräva en kvalificerad årsarbetskraft, motsvarande cirka en mil- jon kronor kostnadsläge. Kommittén har också föreslagit att regeringen ska få ett ytterli- gare rapporteringskrav till . Detta har viss påverkan även på regeringens resursbehov. När det gäller finansiering av den nya uppgiften vore ett alternativ att omdisponera medel inom ramen för Datainspektionens anslag. Med tanke på att kommittén vid sin kartläggning fått bilden av att myndigheten har svårt att klara av sitt omfattande upp- drag inom befintliga ramar, föreslås inte detta. Förstärkningen bör därför göras genom en omfördelning inom utgiftsområde 4, rättsvä- sendet. I ett längre perspektiv bör en jämförande studie av de statliga tillsynsmyndigheternas ansvarsområden och resurstilldelning ge- nomföras. Därefter kan nödvändiga omfördelningar göras efter an- gelägenhetsgrad inom denna krets. I övrigt bedömer kommittén att våra förslag inte har några konse- kvenser när det gäller den kommunala självstyrelsen, små företags villkor, brottsligheten och det brottsförebyggande arbetet, syssel- sättning och offentlig service i olika delar av landet, jämställdheten mellan kvinnor och män eller möjligheten att nå de integrationspoli- tiska målen. med familjen elektroniska spår DEL VI – Innehåll SOU 2016:41 Risken med dåliga lösenord............................................................ Personanpassade politiska budskap............................................... Dåligt skämt ledde till misshandel................................................. Barnens chattrafik okrypterad och avlyssnad............................... Den skvallrande boken................................................................... E-legitimation på vift...................................................................... Övervakad på jobbet och osynlig kreditprövning........................ Prylar som skvallrar........................................................................ Kompisar som taggar utan eftertanke........................................... Sms:et som hamnar hos polisen..................................................... Krypterade filer i molnet................................................................ Hantering av uppgifter om hälsa.................................................... Allting spåras på webben................................................................ Utlagd i direktsändning.................................................................. Elevhälsa på drift............................................................................. Lifeloggingkameran som fotograferar för mycket........................ Kameran som vet vem den ser........................................................ Personliga länkar visar vem besökaren är...................................... Lojalitetsapp med specialerbjudande............................................. Ansiktsigenkänning ger bättre service.......................................... Mobiltelefonen som spårsändare i stadsplaneringen.................... Mobilen loggar allt och lite till … ................................................. Försäkringspremie baserad på hur familjen kör … ...................... … och hur de lever........................................................................... I skattespindelns nät....................................................................... Skola i framkant.............................................................................. Banken ställer frågor om penningtvätt.......................................... Kameraövervakning i sovrummet.................................................. med familjen elektroniska spår lämnar familjen en stor mängd elektroniska spår efter sig av olika slag, vissa avsiktligt och andra helt omedvetet. Familjemedlemmarnas kunskap om hur uppgifterna sprids och vidareanvänds för nya ändamål varierar, liksom deras möjligheter att påverka detta. I berättelsen tar vi upp vad som är tekniskt möjligt. Däremot tar vi i texten inte någon hänsyn till vad som är lagligt. Ett syfte är att få läsaren att själv reflektera över potentiellt integritetskänsliga händelser i vardagen. Många av företeelserna beskrivs närmare i andra kapitel i betänkandet. Med den här texten vill vi visa att vanliga människor i olika vardagsituationer lämnar efter sig massor av elektroniska spår. Vi vill också ge en uppfattning om hur uppgifterna sprids och vidareanvänds. Texten innehåller exempel på teknik eller arbetssätt som redan används i eller i andra länder, samt så- dant som är under utveckling och som snart kan vara verklighet. Vi ska därför under ett drygt dygn få följa familjen , som bor i en förort till en större svensk stad. Familjen består av: ––, . Mamma i familjen. Arbetar som controller på läkemedelsbolag. Är rätt så teknikintresserad. ––, . Pappa i familjen. Arbetar som socialsekreterare i kom- munen. med familjen elektroniska spår ––, . Studerar på gymnasiet och längtar utom- lands. Jobbar ibland extra på ett callcenter i närheten. ––, . Kallar sig själv tvillingbror till . ––, . Flydde ensam från till och bor nu hos familjen . ––, . Familjens yngsta medlem. Gillar dinosaurier och är ofta förkyld. I köket står pappa och lagar middag sam tidigt som han pratar i telefon med sin bror. De båda familjerna planerar en gemensam solsemester. I andra änden av telefonlinjen sitter brodern och söker efter hotell och läser upp priser. känner igen namnen på flera hotell, men priserna är mycket lägre än de han själv hittade kvällen innan. Han ber brodern dubbelkolla datum och – jodå, det är de som de har tänkt resa bort.