sou · H4B341 · 2016-06-07 00:00:00 — Utan att tillämpa långgående principer för uppgiftsminimering ﬁnns stor risk att det uppstår en koncen- trerad informationskälla hos leverantören av vädertjänsten, innehål- lande betydande mängder känsliga personuppgifter. Även om den mobila enhetens GPS tillhandahåller position med ett par meters noggrannhet, kan det förmodas att prognosen gäller för ett betydligt större område. De positionsangivelser som skickas till bakomliggande system skulle därför kunna påföras brus eller avrundas till några kilometers radie. kanske det inte är nödvändigt att alltid, varje gång applikationen startar, inhämta posi- tion. kan det förväntas att användaren endast vill se väderprognosen kring hemmet och andra favoritplatser - och inte där man råkar beﬁnna sig. En enkel knapp i applikationen för att uppdatera till aktuell position kan förväntas reducera mängden inkomna positionsangivelser påtagligt. Ett annat sätt att minimera mängden uppgifter som måste inhämtas kan vara att endast spara användarens favoritplatser i appli- kationen i den mobila enheten, och inte i det bakomliggande systemet. På så sätt undviks att det uppstår ett centralt register med denna information om alla tjänstens användare, vilket kan förväntas lindra riskerna ytterligare. Logginformation som relaterar till användare, och som unikt identiﬁerar en användare bland andra (t.ex. den mobila enhetens pseudonyma identitet) bör kunna gallras eller avidentiﬁeras tämligen omgående i en sådan här situation. Det är svårt att se att det krävs att logginformation sparas för att tillgodose nödvändiga behov av spårbarhet. Uppgiftsminimering kan även innefatta att försöka undvika att behandla direkta identiﬁerare, till exempel namn eller person- nummer. I detta kan användning av biometriska avtryck, till exempel ett fotograﬁ eller ett ﬁngeravtryck, i vissa tillämpningar fungera som uppgiftsminimerande och integritetsskyddande teknik. Sådana biometriska avtryck är betydligt svårare att korrelera och samköra jämfört med andra direkta identiﬁerare som namn, personnummer och adress. Ett exempel utgör kollektivtraﬁkbiljetter som i vissa fall av affärsmässiga skäl måste vara personliga, vilket fordrar att resenären ska kunna legitimera sig med fullgod fotolegiti- mation. Ett alternativ till att registrera biljetten med namn och kund- nummer kunde vara att erbjuda resenären att istället knyta biljetten till ett fotograﬁ (en “selﬁe”). Om fotograﬁet kan lagras på ett säkert sätt på biljettmediat behöver inga personuppgifter behandlas i de centrala systemen. Ytterligare fördelar nås genom att personer som inte innehar fotolegitimation (minderåriga, med ﬂera) kan åka med kollektivtraﬁken. Riskerna minskar och möjligheterna ökar. För behandling av personuppgifter krävs enligt personuppgiftslagen att den personuppgifterna rör ska samtycka till behandlingen. För att samtycket ska vara giltigt ska den registrerade ha fått tillräcklig information om behandlingen. Den registrerade måste ha fått sådan information att han eller hon kan ta ställning till om hans eller hennes personuppgifter ska få behandlas för det ändamål och på det sätt som planerats. I praktiken är det dock svårt att nå användarför- ståelse och faktiskt informerat medgivande. Ofta är rutinerna för att tillhandahålla informationen i första hand utformade utifrån leveran- törens behov, snarare än att användaren ska kunna ta ett informerat beslut. Figur 3.1 visar en typisk användardialog i en tvåpartsrelation som till exempel förekommer när en ny mobil enhet ska tas i bruk av konsumenten. Då måste leverantörens användarvillkor (inklusive villkor för behandling av personuppgifter) godkännas. Information om personuppgiftsbehandlingen är ofta inbakade i obegripliga och närmast ändlösa slutanvändaravtal som med varje rimlig ansträngning är fullkomligt ogenomträngliga, och som knap- past utgör den typen av litteratur som en användare ämnar spendera timmar att fördjupa sig i. Användaren ges heller inga alternativ kring vilka uppgifter som ska delas med vem och hur. Vill konsumenten använda den produkt denne köpt ﬁnns bara alternativet att godkänna villkoren. För den som till äventyrs ändå läser slutanvändaravtalet framgår att tillverkaren framställer en unik identiﬁerare kopplad till enheten och därmed innehavaren, som används för att kartlägga använda- rens positioner, vanor och intressen genom dennes användning av enheten, för att sedan kunna rikta reklam till användare. Funktionen är påslagen utan att användaren gjort några val eller på något annat relevant sätt informerats om den. Att funktionen existerar framgår i praktiken först när användaren letat sig längst ner i en undermeny under integritetsskydd i enhetens inställningar. Där ﬁnns ett otydligt val att begränsa spårning och att återställa den unikt framställda iden- tiﬁeraren. Det går inte att välja bort att delta annonsprogrammet, och det går heller inte att ställa in enheten att regelbundet med något inter- vall låta återställa identiﬁeraren. Du måste godkänna villkor och slutanvändaravtal. Figur 3.1 – Dialogruta utformad utifrån leverantörens behov. Användardialogen i ﬁgur 3.2 är däremot utformad utifrån konsu- mentens behov, och skulle kunna förekomma då användaren instal- lerar en tredjepartsapplikation i tidigare nämnda mobila enhet. Dessa applikationer installeras i egna fack i den mobila enhetens operativ- system, och måste begära och beviljas åtkomst till andra funktioner utanför det egna facket, till exempel kontaktbok, bilder, lokaliserings- information, med mera. Genom användardialogen erbjuds konsu- menten möjligheten att använda applikationen även utan att dessa uppgifter delas med applikationen, och med det även leverantören Det ﬁnns menyval för att senare kontrollera vilka applikationer som givits åtkomst till vad, och dessa inställningar kan enkelt ändras. Dialogrutan är också utformad för att vara felsäker på ett sådant sätt att förvalet, och det val som står först, är att inte tillåta någon åtkomst. För användare som inte förstår eller missar i dialogen blir resultatet minsta möjliga behandling av personuppgifter, det vill säga opt-in i övriga delar. Den här applikationen söker åtkomst till din kontaktbok. Figur 3.2 – Dialogruta utformad utifrån användarens behov. Sammantaget kan sägas att leverantören i det här exemplet väl omhändertar användarens intressen gentemot tredjepartsleverantörer av applikationer, men agerar på ett helt annat sätt i den egna rela- tionen mot användaren. Att erbjuda transparens innebär att låta användaren själv få insyn i vilka uppgifter som behandlas och på vilket sätt, till exempel genom att visa hur uppgifter kan komma att överföras till andra aktörer (och koppla detta till informerade val, enligt 3.2). En annan viktig del i transparensen är att tjänstetillhandahållaren åtar sig att informera användaren vid förekomst av intrång eller säker- hetsöverträdelser som kan ha lett till att dennes personuppgifter har röjts till obehöriga. Tjänstetillhandahållaren bör ha inrättat processer och rutiner för hur användare ska underrättas vid en sådan händelse. Det är svårt att avgöra verkan av införda informations- säkerhetskontroller. Möjligen kan kontrollernas effektivitet mätas gentemot funna avvikelser eller inträffade incidenter, men inom en tjänst eller i ett system med betydande risker för de enskildas person- liga integritet är det knappast godtagbart att pröva sig fram i denna del. Veriﬁerbart skydd grundas ofta i olika former av kryptering där nyckelmaterial hanteras i särskild manipulationsskyddad hård- vara. Hårdvaran ska skydda nycklarna från att röjas och medger trovärdig spårbarhet vid användning av dem. Skyddet kan till exempel användas för att lagra information krypterat då den inte används, eller för att åstadkomma separation av arbetsuppgifter. Skyddet för informationen kan också upprätthållas med hjälp av genomgående kryptering, innebärande att användarens uppgifter är krypterade med nyckelmaterial som endast användaren (fysiskt och logiskt) förfogar över. Ett exempel kan vara en säkerhetskopia av känslig karaktär som är krypterad med ett tillräckligt komplicerat lösenord som endast användaren känner till. Säkerhetskopian skulle därvid kunna förvaras hur som helst, så länge dess tillgänglighet är säkerställd. Oavsett är skyddet veriﬁerbart på det sätt att informa- tionen inte kan röjas till obehöriga så länge lösenordet endast är känt för den som äger informationen. Ofta krävs dock mer avancerade krypteringsfunktioner för att åstadkomma användbara tjänster, till exempel asymmetrisk kryp- tograﬁ. Med asymmetriska algoritmer avses sådana kryptograﬁska funktioner där ett nyckelpar används, bestående i en publik kompo- nent och en privat komponent, som står i sådant motsatsförhållande till varandra att det som krypteras med den ena komponenten kan avkrypteras med den andra, och vice versa. Genom att använda asymmetrisk kryptograﬁ kan en part skicka ett meddelande som endast kan avkrypteras av mottagaren, förutsatt att den avsändande parten har tillgång till den mottagande partens publika nyckel. Ett problem för att på ett bra sätt använda sådan kryp- tering för innehåll i webbtjänster har varit att det saknats gränssnitt för nyckelhantering och krypteringsfunktioner i de vanligt förekom- mande webbläsarna. Det pågår dock viktigt och långt framskridet standardiseringsarbete på detta område, där de ﬂesta webbläsare också har stöd för utkastversionerna av denna standard framtagen inom W3C och kallad Web Cryptography API. Ett användningsområde för sådan genomgående kryptering skulle kunna vara en meddelandetjänst, med vilken myndigheter kan förmedla krypterad elektronisk post innehållande uppgifter som annars skulle kräva att de skickades med traditionellt brev. Använ- dare skulle med hjälp av e-legitimation kunna registrera sina publika nycklar, som myndigheten sedan kan använda för att kryptera meddelandena med. När meddelandet är skyddat kan det förmedlas via vilka kanaler som helst, och den operatör som tillhandahåller det elektroniska brevlådeutrymmet till användaren kan aldrig ta del av innehållet. På detta sätt erhålls ett veriﬁerbart starkt skydd för uppgif- terna. På detta sätt är skyddet för uppgifterna inte beroende av den kedja av kontroller som annars skulle behöva sättas på plats vid en sådan brevlådeoperatör, innefattande fysisk och logisk åtkomst- kontroll, behörighetsstyrning, stark autentisering, personalsäkerhet, säker hantering av lagringsmedia, loggning och logguppföljning, styrmedel för elektronisk kommunikation, et cetera. En kedja som är mycket svår och även kostsam att låta veriﬁera, och erbjuder endast begränsad transparens – även med sådan veriﬁering utförd av tredje part. En systemtekniker behöver i sitt arbete ofta åtkomst på operativ- systemnivå, och har där som regel möjlighet att åsidosätta alla andra åtkomstkontroller1. Med genomgående kryptering på plats kan emel- lertid en brevlådeoperatör inte röja uppgifterna. 3.5Möjlighet att återta ett medgivande För att kunna tillvarata den enskildes rätt att ta tillbaka ett medgi- vande att behandla dennes personuppgifter på ett relevant sätt, måste ett system vara konstruerat med denna funktion i åtanke från början. Modern systemdrift sker i distribuerade servermoln där lagring av uppgifterna är likaledes distribuerade. Uppgifter existerar även i generationer av säkerhetskopior, varav vissa kanske förvaras från- hur som arbetade som systemadministratör vid NSA kunde röja stora mängder hemligstämplade uppgifter utan upptäckt. kopplat på geograﬁskt skilda platser. Det är således inte praktiskt genomförbart att säkert radera varje förekomst av dessa uppgifter. Lösningen kan istället vara att varje post som relaterar till en använ- dare krypteras med en för användaren speciﬁk krypteringsnyckel. Vid händelse att användaren begär att få sina uppgifter raderade utplånas denna krypteringsnyckel, varvid alla uppgifter som relaterar till användaren blir oläsliga. Det ﬁnns förstås uppgifter som måste sparas även efter att en användare återtagit ett medgivande, och som kan relatera till användaren och dennes användande av en tjänst i olika grad. Exempel innefattar ekonomiska underlag, viss logginformation, et cetera. Ett ledningssystem för persondataskydd 4Ett ledningssystem för persondataskydd Som framgått av föregående avsnitt är det skillnad på att som organisation efterleva gällande persondataskyddslagstiftning och att tillämpa principerna för inbyggt integritetsskydd. Även om inbyggt integritetsskydd på ett effektivt sätt lindrar riskerna i behandlingen av personuppgifter kan det också förväntas driva kostnader. Vidare krävs särskild specialistkompetens för att avgöra på vilket sätt prin- ciperna för inbyggt integritetsskydd kan omsättas i risklindrande åtgärder, till exempel på vilket sätt integritetsskyddande teknik kan nyttjas och integreras. är det vanligen externa intressenters krav som utgör drivkraften bakom persondataskyddet, där arbetet med persondataskyddet är en förtroendefråga. Det gör det svårt att inom ett utvecklings- eller införandeprojekt prioritera dessa krav i förhållande till andra möjligen mer handfasta krav som till exempel leveranstidpunkter och kostnadsramar. Det innebär att tillämpningen av principerna för inbyggt integri- tetsskydd snarare är en ledningsfråga än en fråga som kan drivas inom verksamheten eller i ett projekt. Ledningen bör ha visat åtagande i fråga om tillämpningen av principerna, genom att fast- ställa mål med persondataskyddsarbetet och hur ansvaret för att nå uppsatta mål är fördelat. Det behöver även ﬁnnas den kompetens tillsatt som krävs och tillräckliga medel för att driva och samordna arbetet med persondataskyddet. Att på detta sätt tillvarata olika intressenters krav och förvänt- ningar på en organisation har sina tydliga paralleller inom ﬂera andra områden, till exempel miljöskydd, informationssäkerhet och kvalitet. Inom vart och ett av dessa områden ﬁnns internationella etablerade ledningssystemstandarder. Mot respektive standard kan en organisa- tion låta certiﬁera sitt ledningssystem, för att på så sätt visa gentemot Ett ledningssystem för persondataskydd intressenterna att organisationen arbetar målinriktat med dessa frågor enligt vissa vedertagna normer och principer. Ett intressant utvecklingsområde kunde därför vara att undersöka möjligheten att ta fram en standard för ledningssystem för person- dataskydd, som i sin tur inbegriper principerna för inbyggt integri- tetsskydd. Efterlevnad av en sådan standard skulle, på samma sätt som inom de andra områdena, kunna bli en kvalitetsmärkning kring vilken det skapas en kommersiell efterfrågan. Det skulle också vara ett medel för att genom systematik integrera persondataskyddsfrågorna i verksamheten, skapa delaktighet bland medarbetarna, samt stärka varumärket och öka förtroendet för en organisation som fäster vikt vid att värna om den personliga integriteten. [1]M. Barbaro and T. , A face is exposed for AOL searcher no. 4417749, (2006). [2], Privacy by Design: The 7 Foundational Principles, (2009), Revised: January 2011. [3]D. Chaum, A. , and M. Naor, Untraceable electronic cash, Procee- dings on Advances in Cryptology, CRYPTO ’88, , Inc., 1990, pp. 319–327. [4]IIS (), EY, Bankgirot och Swed- bank, betalar, Insight intelligence, . [5]and , Robust de-anonymization of large sparse datasets, Proceedings of the 2008 IEEE Symposium on Security and Privacy (, , ), SP ’08, , 2008, pp. 111–125. Rapport från och Lunds universitets internetinstitut Digitalisering och personlig integritet Postadress xxxx Besöksadress xxxx Telefon xxxx, 046-222 00 00 Fax xxxx E-post xxxx Webbadress xxxx Digitalisering och personlig integritet Framtagen av i samarbete mellan Lunds universitets internetinstitut, och Universitetsbiblioteket , docent i rättssociologi 1. Inledning..................................................................................................................................... (a) Planering av studien........................................................................................................ (b) Söka, identifiera och organisera artiklar................................................................ (c) Extrahera och värdera materialet.............................................................................. Generella teoretiska resonemang............................................................................. Kunskap och beteende bland unga........................................................................... Mänskliga rättigheter i det digitala.......................................................................... Artiklar vilka byger på empiriska studier indelade utifrån metod.................. Forskningsområdet digitali ering och personlig integritet, så som det definierats och avgränsats (framförallt genom val av söksträngar), inom ramen för den här kunskapsöversikten, är under tillväxt. har begränsats till engelskspråkiga artiklar publicerade i vetenskapliga peer‐ vetenskapliga artiklar inom området mer än femdubblats.Exempelvis ger en sökning i forskningsdatabasen avseende 2006 13 träffar medan en identisk sökning avseende 2014 ger 72 träffar. I den här systematiska kunskapsöversikten har två typer av undersökningar För det första en bibliometrisk analys som syftar till att, på en statistisk analytisk nivå, skapa en övergripande bild av hur forskningen på området ser ut. För det andra en systematisk litteraturstudie där relevanta vetenskapliga artiklar har identiferats, analyserats innehållsmässigt och Den bibliometriska analysen visar att det föreligger en tämligen strikt uppdelning av forskningen om digitalisering och personlig integritet mellan huvudsakligen tre vetenskapliga fält. Det vill säga att kommunikationen mellan fälten (i termer av att referera och citera varandras arbeten) är Forskningsfälten kan beskrivas som (a) ett tekniskt fält som i hög grad handlar om systemutveckling, (b) ett juridiskt fält med fokus på frågor om lagstiftat skydd av personlig integritet, samt (c) ett mer samhälls‐ och beteendevetenskapligt orienterat fält som bland annat samlar informatik, psykologi, sociologi, statsvetenskap och marketing‐ och Den systematiska litteraturöversikten, som baseras på en genomläsning av samtliga ingående artiklar, visade att det även inom de olika vetenskapliga disciplinerna saknas tydliga gemensamma begreppsapparater och gemensam syn på metod. Dock kan man se ett antal olika områden (eller forskningsfokus) vilka är frekvent återkommande. De fem dominerande områdena är:(a) teknik, (b) lagstiftning, (c) stat, (d) teori och (e) arbetsliv. Dessutom kan man i forskningen identifiera olika förhållningssätt i förhållande till digitalisering och personlig integritet. (eller kanske snarare utmaning)som går att hantera med hjälp av ny, bättreoch mer integritetskänslig teknik. genom nyttiggörandet av potentiellt integritetskänslig data kunna verka för goda värden såsom förbättrad hälsa. medborgare och anställda. risk, exempelvis avseende staters behov av informationutbytesrelationför att förebygga hot och medborgares rätt till integritet. Slående är att det saknas tillräcklig kunskap avseende relationen mellan övervakning i det digitala och eventuella beteendeförändringari samhället. Olika studier pekar på risker för att bristande respekt för den privata integriteten kan leda till minskat internetanvändande och minskat politiskt engagemang (åtminstonde på nätet). Dock saknas det ännu empiriska bevis för att så skulle vara fallet. Föreliggande kunskapsöverikt har genomförts av på uppdrag (reglerat i avtal 2015‐04‐23) av (Ju 2014:09). arbete preciseras genom direktiv 2014:65 som anger att den parlamentariskt sammansatta kommittén skall: Utifrån ett individperspektiv kartlägga och analysera sådana faktiska och potentiella risker för intrång i den personliga integriteten som kan uppkomma i samband med användning av informationsteknik i såväl privat som offentlig verksamhet samt inom ramen för detta arbete följa upp effekterna i lagstiftningsarbetet av förstärkningen av grundlagsskyddet för den personliga integriteten som genomfördes , och med beaktande av samhälls‐ och teknikutvecklingen i stort och mot bakgrund av slutsatserna av kartläggnings‐ och analysuppdraget, följa upp betänkandet Skyddet för den personliga integriteten (SOU 2008:3) när det gäller behovet av att inrätta ett integritetsskyddsråd och särskilt överväga om de uppgifter som ett sådant råd i så fall bör ges lämpligen kan fullgöras av en befintlig myndighet, samt föreslå nöd‐ vändiga författningsändringar. Det uppdrag från som ligger till grund för den här kunskapsöversikten har formulerats enligt följande: I kunskapsöversikten skall framgå vilka studier av intresse som har gjorts både här i och i omvärlden när det gäller frågan om hur individer, grupper och samhällen påverkas av att vara övervakade, tro sig vara övervakade, eller av att de kan bli föremål för övervakning (även om de inte blir det). Detsamma gäller studier om hur människor, inklusive organisationer och företag, har påverkats av de möjligheter som finns att aktivt övervaka/kontrollera andra. Med påverkan avses hur inställning/synsätt och beteende förändras. Av kunskapsöversikten skall vidare framgå om studier har gjorts inom särskilda områden, exempelvis om patienters inställning och hur de påverkas, eller om arbetsgivares beteende påverkats, både i samband med nyrekrytering och beträffande sina anställda. Om eventuella skillnader i synsätt och beteende mellan olika kön har behandlats i någon studie skall det lyftas fram, liksom skillnader mellan olika åldrar. Det är t.ex. av intresse om det finns studier gällande barn som växer upp i den digitala miljön. Metoden som använts för uppdraget är den vetenskapliga systematiska litteraturstudien samt bibliografisk analys. Sökningar på svenska gav ytterst få träffar, varför den delen av uppdraget lämnas därhän. Fokus ligger på vetenskapliga peer‐review‐granskade artiklar på engelska. I grunden är den systematiska kunskapsöversikten en forskningsstudie som samlar in, analyserar och sammanställer studier inom ett visst område (eller utifrån en specifik frågeställning). Således kan den systematiska kunskapsöversikten beskrivas som ett sätt att sammanställa kunskapsläget inom ett visst område genom en strukturerad och systematisk insamling och granskning av vetenskapliga studier. Insamlingen av olika studier sker oftast genom sökning efter vetenskapliga publikationer i databaser (tex EBSCO eller Web of Science) och styrs då avrelevanta sökord. Genom att metod, utgångspunkter och sökkriterier synliggörs säkras transparens och möjligheten att replikera studien ökar. Inom ramen för föreliggande kunskapsöversikt används de tre steg som Tranfield et al. (2003) beskriver i TowardsidentifieraMethodology for Developing Evidence(2003):‐Informed(a) Planering;Ma agement(b) söka, Knowledsteg ochby Meansorganiseraof Systematicpublikationer;Reviewsamt (c) extrahera och värdera. Vid varje krävs det ett antal överväganden vad gäller såväl sökkriterier som frågor rörande vilka publikationer som ska inkluderas respektive exkluderas. Nedan redovisas hur Transfields (et al.) metod har applicerats inom ramen för föreliggande studie. (a) Planering av studien Kunskapsöversikten fokuserar frågor som rör digitalisering och personlig integritet. Av särskilt intresse är övervakning genom det digitala mediet samt dess eventuella konsekvenser för attityder, beteende och integritet/privatliv. Om möjligt skall studien kunna belysa specifika gruppers förutsättninar (exempelvis baserat på ålder och kön), samt identifiera tematiska områden för vilka frågeställningen är relevant. Viktiga avgränsningar utgörs av det faktum att det systematiska sökandet efter vetenskapliga publikationer i den här studien begränsas till artiklar i vetenskapliga tidsskrifter vilka är skrivna på engelska.