sou · H4B341 · 2016-06-07 00:00:00 — Försäkringstagaren saknar dessutom i praktiken någon reell möjlighet att vägra lämna samtycke om han eller hon vill ha det aktuella försäkringsskyddet. Om det är oklart vilken ytterligare information som försäkringsföretagen har tillgång till blir det än svårare för den enskilde att förstå konsekven- serna av ett lämnat samtycke. De nya möjligheterna att genom olika former av digitala egen- mätningar lämna underlag för beräkning av försäkringspremier, t.ex. för fordonsförsäkring och personförsäkring ger upphov till nya integritetsrisker. Uppgifterna måste hanteras säkert i varje led för att det inte ska uppstå risker för obehörig spridning. Det innebär också ett stort ansvar för bolagen att inte hantera mer känsliga uppgifter än nödvändigt, eftersom tekniken i sig innefattar stora möjligheter till kartläggning av enskilda individers rörelsemönster och livsstil m.m. När enskilda erbjuds nya möjligheter att få tillgång till uppgifter om sin hälsa genom att t.ex. kunna ta del av sin patientjournal via internet eller genom att samla sådan information på olika hälsokon- ton uppkommer risker för att tredjepartsintressenter vill ta del av denna information. Försäkringsföretag kan komma att vilja ta del av uppgifter om kundernas hälsa digitalt genom någon form av app knuten till ett hälsokonto, i stället för att få utskrifter ur patientjour- nalen. En sådan hantering förutsätter höga krav på säkerhet vid överföring av uppgifterna och ställer andra krav på den enskilde när det gäller insikter om vad överföringen av uppgifterna kan få för konsekvenser. Detta ställer i sin tur krav på företagen när det gäller ansvar för hanteringen och för information till kunderna. De risker som hör samman med användning av molntjänster uppstår också i samband med att personuppgifter kommer att behandlas av de före- tag som erbjuder app-tjänsterna, se vidare avsnittet om molntjänster (21.1). Av betydelse i detta sammanhang är också att det måste finns ändamålsenliga rutiner som begränsar vilka anställda inom försäk- ringsföretagen som ska ha tillgång till olika uppgifter om enskilda. Den stora mängden uppgifter som finns hos försäkringsföretagen representerar ett betydande ekonomiskt värde och skulle kunna samköras med annan information. Det kan därför finnas en risk för handel med uppgifterna. Försäkringsföretagen omfattas inte av några generella regler om tystnadsplikt. Mot denna bakgrund bedö- mer kommittén att det finns påtagliga risker för den personliga integriteten i samband med försäkringsföretagens verksamhet. Kommittén anser därtill att det finns särskild anledning att följa försäkringsbranschens framtida inriktning. Förutom den tekniska utvecklingen i stort, i kombination med en tänkbar förändring av branschens policyer och arbetssätt, ser kommittén en utveckling, där helt nya informationskällor uppstår, ibland som en följd av potenti- ella försäkringstagares egna åtgärder och tillgång till delvis ny infor- mation. Den här informationen är av stort intresse för försäkringsbolagen, som den kan vara av mycket känslig natur för den enskilde. ser en risk att den här utvecklingen ytterligare rubbar balansen mellan den enskilde försäk- ringstagaren och dennes försäkringsgivare. Med tanke på den stora potentiella ökningen av nya informa- tionskällor med känslig information och den tekniska utvecklingen i stort, bedömer kommittén att den framtida hanteringen av person- uppgifter inom försäkringsverksamheten kan innefatta allvarliga risker för den personliga integriteten. 15 Bank- och kreditmarknad Kommitténs bedömning: Det föreligger påtagliga risker för den personliga integriteten i samband med kreditprövning och råd- givning. Det finns allvarliga risker för den personliga integriteten för- knippade med användningen av kreditkort och andra digitala transaktioner. Det finns påtagliga risker för den personliga integriteten i sam- band med att banker och kreditmarknadsbolag lämnar ut person- uppgifter på grund av olika rapporteringskrav. 15.1Allmänt om behandling av personuppgifter inom bank och kreditmarknadsföretag En gång i tiden fanns riskbedömningen inbyggd i samhället. Handlaren i den lilla byn kände alla kunder och kunde avgöra vem som skulle få handla på kredit och vem som alltid skulle krävas på kontant betalning. När det sociala avståndet mellan kreditgivare och kredittagare ökade försvann denna möjlighet till en informell kredit- prövning baserad på personlig kännedom om den som önskade en kredit. Dagens banker och kreditmarknadsföretag inhämtar i stället stora mängder upplysningar från bl.a. specialiserade kreditupplys- ningsföretag, och baserar sina bedömningar på sådan information. Behandling av personuppgifter hos kreditupplysningsföretagen behandlas närmare i kapitel 16 verksamhet, kreditupplysning och inkasso. Banksektorns intresse för data om sina kunder handlar dock inte bara om kreditbedömningar. Precis som företag i andra branscher vill bankerna ha kunskap om sina kunder för andra syften. Kunskapen blir ett underlag bl.a. i produktutveckling och marknadsföring samt styrning av verksamheten. Banker och kreditmarknadsföretag erhåller dessutom detaljerad information om sina kunders transaktioner, t.ex. när kunderna beta- lar med kreditkort. Denna information sparas , bl.a. för att kunden i efterhand ska kunna ska kunna kontrollera sitt saldo och utvecklingen av tillgångar och skulder. Bankerna har även vissa skyldigheter enligt lag som leder till behandling av en stor mängd personuppgifter. Ett exempel på detta är att bankerna är skyldiga att kontrollera nya kunders bakgrund. Dessa kontroller ska bl.a. förhindra penningtvätt och leda till att kunder som inte är kreditvärdiga identifieras. Vidare ska vissa upp- gifter om kunders tillgodohavanden och transaktioner lämnas vidare till olika myndigheter. Det kan i teorin hävdas att enskilda kan begränsa många av dessa risker genom att aldrig söka några krediter och alltid betala med kontanter. I praktiken är det dock både svårt och dyrt för den enskilde – och i vissa fall till och med omöjligt – att göra detta. Vid betalningar av räkningar måste t.ex. mottagaren få information om vem som har gjort inbetalningen. I praktiken har den enskilde därför mycket små möjligheter att påverka personuppgiftsbehandlingen. Behandlingen av personuppgifter hos banker och kreditmarknads företag regleras i första hand i personuppgiftslagen (1998:204). I kapitel 6 Det grundläggande rättsliga skyddet redogör kommittén närmare för regleringen i personuppgiftslagen. Den allmänna regleringen i personuppgiftslagen kompletteras av vissa bestämmelser som tar sikte på just bank- och kreditmarknaden. Av såväl lagen (2004:297) om bank- och finansieringsrörelse som lagen (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism följer t.ex. att alla som arbetar på bank har tystnadsplikt. Denna tystnadsplikt omfattar alla uppgifter som rör en bankkunds mellanhavanden med banken, oavsett om uppgiften är skriftlig eller Till och med uppgiften att en viss person är eller inte är kund i banken omfattas. Tystnadsplikten gäller inte endast uppgifter av ekonomisk art, utan omfattar även personliga förhållanden som t.ex. sjukdom, skilsmässa eller upprättande av testamente. Banken får dock i vissa situationer åsidosätta tystnadsplikten och är i vissa fall till och med skyldig att göra det. Uppgifter ska t.ex. lämnas till Polis- eller om undersöknings ledaren begär det inom ramen för en förundersökning. ska även informeras om det, efter en analys av kundens transaktioner, föreligger omständigheter som kan tyda på penningtvätt eller finansiering av terrorism. Bankerna är även skyl- diga att lämna vissa uppgifter till . Datainspektionen utövar tillsyn över bankernas och kreditmark- nadsbolagens behandling av personuppgifter enligt personupp- giftslagen. ansvarar för bl.a. tillsynen och tillståndspröv- ningen som rör finansiella marknader och finansiella företag samt för samordningsorganet för tillsyn enligt förordningen (2009:92) om åtgärder mot penningtvätt och finansiering av terrorism. Även länsstyrelserna i , och utövar viss tillsyn över att bl.a. banker och kreditmarknadsbolag följer lagen om åtgärder mot penningtvätt och finansiering av terrorism. 15.2Behandling av uppgifter för kreditprövning och rådgivning Banker och kreditmarknadsföretag samlar in stora mängder uppgif- ter om enskilda, för att kunna bedöma om de bör beviljas kredit. Uppgifter hämtas in från konsumenten själv samt från bl.a. kredit- upplysningsföretag, Statens person- och adressregister (SPAR) och i vissa fall även från fastighetsregister. Om sökan- den är en befintlig kund hos banken kan information även hämtas från bankens egna interna databaser, exempelvis om hur kunden har skött relationen med banken. Det förekommer också att helt andra typer av information inhämtas och påverkar kreditbedöm- ningen. Kreditgivare kan t.ex. vid sådan bedömning i samband med köp över internet påverkas av uppgifter om tidpunkten för köpet,1 betalningsfrekvensen hos andra som har köpt den aktuella typen av vara,2 eller uppgifter om återbetalningsfrekvensen hos personer som är vänner med sökanden på sociala medier.3 Det har också förekom- mit att finansbolag använt data om kredittagares mobiltelefonan- vändning för att göra sina kreditbedömningar.4 Banker och kreditmarknadsföretag samlar även in ett stort antal uppgifter om enskilda i samband med finansiell rådgivning, dvs. när en enskild får råd om hur dennes tillgångar ska placeras. Innan en bank beviljar en kredit ska banken enligt lagen om bank- och finansieringsrörelse pröva risken för att de förpliktelser som följer av kreditavtalet inte kan fullgöras. Banken får bevilja en kredit bara om förpliktelserna på goda grunder kan förväntas bli fullgjorda. En banks kreditprövning ska vara organiserad så att den som fattar beslut i ärendet har tillräckligt beslutsunderlag för att bedöma risken med att bevilja krediten. Vid krediter till konsumenter gäller dessutom, enligt konsumentkreditlagen (2010:1846), att kreditgiva- ren är skyldig att pröva om konsumenten har ekonomiska förutsätt- ningar att fullgöra vad han eller hon åtar sig enligt kreditavtalet. Av lagen (2003:862) om finansiell rådgivning till konsumenter följer att banken även vid finansiell rådgivning är skyldig att inhämta viss information om den enskilde. Inför rådgivningen måste banken bl.a. ställa frågor om den enskildes ekonomiska och familjeförhål- landen samt om tidigare erfarenhet av finansiella placeringar, syftet 1 Se vidare and , ’s Klarna: With U.S Launch, It’s all about online payment ‘friction’, 2014 samt , Klarna, an Popular in Europe, Eyes Global Expansion, 2014. 2 Big data: its power and perils, in Business 2013. 3 och , Kreditech; The benevolent side of big data, Finance & Development 2014. 4 , och , The potential of digital data: How far can it advance financial inclusion?, to Assist the Poor 2015. med placeringen och inställningen till risk, för att kunna anpassa rådgivningen efter konsumentens önskemål och behov. Banken är även skyldig att avråda från åtgärder som inte kan anses lämpliga med hänsyn till konsumentens behov, ekonomiska förhållanden eller andra omständigheter. De råd som lämnas ska dessutom dokumen- teras. Det anförda innebär inte att banker och kreditmarknadsbolag får behandla vilka uppgifter som helst, eller att behandlingen får göras hur som helst. Enligt personuppgiftslagen måste personuppgifter som behandlas vara adekvata och relevanta i förhållande till ända målen med behandlingen. Datainspektionen har gjort bedömningen att uppgifter om avskrivna och överlåtna fordringar inte är adekvata eller relevanta att använda för kreditprövning när uppgifterna är äldre än tre år.5 Alla anställda vid banker och kreditmarknadsbolag har dessutom, som tidigare nämnts, en långtgående tystnadsplikt. 15.2.3Risker för den personliga integriteten Med teknikgenombrott som internet och big data har möjligheterna att basera kreditbedömningar på andra uppgifter än tidigare ökat markant. Andra data än de som finns hos kreditupplysningsföreta- gen kan säga mycket – i vissa fall kanske till och med mer – om en individs kreditvärdighet. Aktörer som gör riskbedömningar har därför ett intresse av att få tillgång till information som kan erhållas genom den kartläggning som görs om enskilda individer, bl.a. på internet. Sådan information kombinerat med verktyg för dataanalys gör det möjligt för en kreditgivare att minska sina risker. Denna utveckling innebär flera risker för den personliga integri- teten. En del i detta är att företag, t.ex. banker och kreditmarknads- företag, typiskt sett har tillgång till en stor mängd information om sina kunder i de interna systemen. Det kan t.ex. handla om uppgifter om sparat kapital, genomförda transaktioner och tidigare tagna kre- diter, men även exempelvis uppgifter om ifall en viss kund väljer att kommunicera med banken genom personliga besök, via telefon eller 5 Datainspektionens beslut , dnr 1822-2013 och 1826-2013. När nya analysverktyg används för att kombinera denna information med information från olika externa aktörer, kan man erhålla detaljerad information om den enskilda kunden. handlade den externa informationen i huvudsak om uppgifter från traditionella kreditupplysningsföretag. Teknik utvecklingen har dock medfört att det exempelvis via sociala medier går att få en bild av en persons sociala nätverk, men också om livssi- tuation och konsumtionsvanor. Det finns också en växande handel med kunddata via företag som specialiserat sig på handel med personuppgifter av varierande slag, s.k. data brokers. När förutsättningarna förändras för hur en kreditbedömning genomförs, får det också konsekvenser för kredittagarna. uppmärksammade amerikanska ABC ett fall där en man plöts- ligt fick sin kontokortskredit sänkt , trots att hans Fico-ranking (en av de modeller för kreditprövning som används i ) var väldigt hög. Det visade sig att den sänkta kredi- ten var en konsekvens av att han hade handlat i en butik där många andra kreditkortsinnehavare med dålig återbetalningshistorik bru- kade handla.6 Det finns även exempel från som visar att kreditprövning gjorts på ett sätt som varken varit objektivt eller transparent. förekom t.ex. rapportering i svensk media om att en svensk storbank hade fört ett register (en s.k. svart lista) över perso- ner som bedömdes vara olämpliga som bankkunder samt att banken i registret använde epitet som ”skojare”, ”ekonomisk vettvilling”, ”känd skumraskfigur”, ”tvivelaktig mäklare”, ”gangsterrevisor” och ”rövarflicka”.7 Beträffande en person i registret ska det ha stått ”Brott. Det har även förekommit användning som, beroende på omstän- digheterna, kan vara både positiv och negativ för den enskilde. Nya metoder för kreditbedömning kan i vissa fall resultera i att en kredit beviljas trots att en mer traditionell prövning hade utmynnat i ett avslag. Detta är i bästa fall positivt för den enskilde. Det har även förekommit att banker som har avslagit en ansökan om kredit har sålt sina uppgifter om kunden till en annan långivare, som har kon- 6 m.fl., ‘GMA’ Gets Answers: Financially Profiling , abc NEWS 2009. och , Nordea bluffade om hemliga kundregistret, 2015, och TT, Bankerna förnekar svarta listor, taktat kunden och erbjudit denne ett lån mot högre ränta.8 En sådan överföring får dock inte göras utan att banken först inhämtar den enskildes samtycke. Det finns även andra aspekter. Banker och kreditmarknadsföretag kan precis som alla andra utnyttja nätets möjligheter till individan- passade erbjudanden. Som exempel på detta kan nämnas att individer som efter dataanalys placerats i målgruppen för högräntelån kan exponeras för annonser med erbjudanden om sådana lån. Möjligheterna att upptäcka samband mellan olika data kan också användas för att försöka kringgå förbud mot viss behandling av per- sonuppgifter. I förekom t.ex. länge s.k. redlining, vilket innebar att kreditgivare ägnade sig åt väldigt grova generaliseringar i sin riskbedömning; till boende i vissa bostadsområden – som markera- des med röda linjer på en karta – skulle inga krediter ges. Med big data-verktyg har det öppnats möjligheter att uppnå samma effekt som med hjälp av redlining, som är förbjuden. Går det t.ex. att använda enskildas musiksmak för att bedöma kreditrisken? Weblining har börjat användas som term när en individs digitala fotspår används på detta sätt. 15.3Kreditkort och transaktioner över internet Konsumenter betalar allt oftare med bank- eller kreditkort. Det gäller i synnerhet vid köp över internet. Vid betalningar över internet eller med kort får banken eller kreditmarknadsföretaget kontinuer- ligt detaljerad information om kundernas transaktioner. Denna information sparas , bl.a. för att kunden i efterhand ska kunna kontrollera sitt saldo och förändringar av tillgångar eller skul- der. Många banker och kreditmarknadsföretag tillhandahåller dessutom appar för sina kunder. I dessa appar kan kunderna ta del av vissa uppgifter, t.ex. saldon, transaktioner, aktieinnehav och uppgifter om lån. Via apparna kan kunderna oftast också genomföra vissa trans- aktioner, såsom överföringar och betalningar. I regel kan kunderna 8 Se t.ex. , FI utreder bankernas affärer med kunddata, och Storbanker säljer ratade kunder vidare, 2013. även ta del av denna typ av uppgifter, och utföra vissa transaktioner, över internet. Det går även i många fall att ansöka om lån eller beställa en e-legitimation över internet. Lån kan till och med sökas via SMS hos vissa kreditgivare. Alla anställda vid banker och kreditmarknadsbolag har, som tidigare nämnts, en långtgående tystnadsplikt. Vidare uppställer personupp- giftslagen krav på lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstad- komma en säkerhetsnivå som är lämplig med beaktande av a)de tekniska möjligheter som finns, b)vad det skulle kosta att genomföra åtgärderna, c)de särskilda risker som finns med behandlingen av personuppgif- terna, och d)hur pass känsliga de behandlade personuppgifterna är. Av allmänna råd om rapportering av händelser av väsentlig betydelse (FFFS 2015:15) följer att bl.a. banker genast bör rapportera till om det inträffar sådana hän- delser som kan medföra att företagets ekonomiska förutsättningar ändras, så att det inte kan uppfylla sina åtaganden mot kunder. Vidare anges att företag bör rapportera händelser som kan medföra att ett större antal kunder orsakas betydande ekonomisk skada, och hän- delser som kan medföra en väsentlig ryktesförlust för företaget. De händelser som avses är t.ex. att information som lämnas vid kund- transaktioner är felaktig eller bristfällig, att kundtransaktioner han- teras på ett felaktigt eller bristfälligt sätt, att fel uppstår i tekniska system, eller att interna eller externa regler överträds. 15.3.3Risker för den personliga integriteten Vid användning av kreditkort och transaktioner över internet får bl.a. banker och kreditmarknadsföretag tillgång till detaljerade upp- gifter som kan vara känsliga från ett integritetsperspektiv. När kun- derna ges en möjlighet att komma åt sådana uppgifter och utföra transaktioner via appar eller internet, finns en risk att även obehöriga kan utföra sådana åtgärder. Kontant betalning minskar till förmån för betalning med kredit- kort eller andra betalningar över internet. En risk som är förknippad med denna utveckling är att möjligheterna att betala utan att skapa elektroniska spår försvåras alltmer. Bankers och kreditmarknadsbolags behandling av transaktionshistorik Vid betalning med konto- eller kreditkort lagras transaktionerna i olika register. Görs inköpen via internet lämnas även digitala spår. Med hjälp av uppgifter om den enskildes inköpsmönster går det att dra många slutsatser om dennes liv och personlighet. Register som innehåller uppgifter om inköp är inte sällan avsedda att vara anonymiserade, exempelvis genom att varje användare anges med ett unikt ID-nummer. Det finns dock undersökningar som visar att sådan anonymisering inte alltid fungerar som det är tänkt. Amerikanska forskare har t.ex. undersökt ett kreditkortsregister som skulle vara anonymiserat och kunnat namnge av de 1,1 miljoner personer som fanns i registret. Enligt dessa forskare var det tillräckligt med två fakta om en person i en databas med 1,1 mil- joner ”anonymiserade” personer, för att med mer än 50 procents sannolikhet kunna peka ut rätt person i databasen. När en person väl är avanonymiserad är det ofta möjligt att följa personens handlingar och se var personen befunnit sig och vad denne har gjort eller inhandlat osv. Det gäller särskilt om dessa data kombineras med information från en annan källa, exempelvis sociala medier. Uppgifter av detta slag sprids också allt oftare mellan företag och myndigheter.9 Transaktionshistorik är även intressant för andra än kreditgivare och därför på väg att bli en handelsvara. I har det t.ex. genom- förts försök där vårdgivare med hjälp av big data-verktyg har analy- serat inköpsvanorna hos två miljoner människor, i syfte att identifiera högriskpatienter innan de blir sjuka. Man kan exempelvis bedöma sannolikheten för att en astmapatient ska uppsöka akutsjukvård uti- från faktorer som cigarettinköp, luftföroreningar och uppgifter om personen har hämtat ut astmamedicin på , eller sannolikhe- ten för att en person ska drabbas av en hjärtattack, bl.a. utifrån vilken sorts mat personen har inhandlat och om han eller hon är medlem i ett gym.10 Möjligheten att kontrollera saldon och genomföra transaktioner med hjälp av bankappar och internetbank är mycket smidig och kan vara tidsbesparande för den enskilde. Det kan också innebära sänkta transaktionskostnader för banken. Det kan dock medföra stora risker för den enskildes personliga integritet om någon obehörig får tillgång till t.ex. uppgifter om kon- ton, transaktioner med namn på mottagaren eller avsändaren och om skuldsättning. Uppgifterna kan användas till att kartlägga inte bara stora delar av en persons ekonomiska förhållanden, utan även var denne har befunnit sig och dennes inköpsvanor. Uppgifter om trans- aktioner kan dessutom innehålla känsliga uppgifter i personupp- giftslagens mening, t.ex. genom att avslöja den enskildes kontakter med hälso- och sjukvården. Särskilt med tanke på att appar ofta används på offentliga platser finns en ökad risk för att någon obehörig lyckas komma åt inlogg- ningsuppgifterna. Denne skulle därefter, genom att enkelt ladda ner 9 , Så avslöjas dina ”hemliga” uppgifter, 2015; de Montjoye m.fl, Unique in the shopping mall: On the reidentifiability of credit card metadata, Science 2015. 10 och , Hospitals are mining patients’ credit card data to predict who will get sick, Bloomberg Business 2014. bankens app till sin egen smarta telefon, kunna logga in i appen och obehörigen ta del av en stor mängd uppgifter, utan att den behörige användaren märker det. Datainspektionen har granskat ett antal bankappar och gjort bedömningen att flera av de uppgifter som man fått åtkomst till via apparna har ett så högt skyddsvärde att åtkomsten till dessa uppgifter ska föregås av stark autentisering, för att säkerställa att rätt person gör inloggningen.11 Stark autentisering kan åstadkommas på flera sätt, t.ex. e-legitimation. I detta sammanhang kan också nämnas en ny typ av tjänst som lanserats i form av s.k. privatekonomiappar. Syftet med tjänsten är att ge användaren överblick över sin ekonomi. Appen kopplas till användarens internetbank, genom att en personlig bankkod anges. Sedan samlas uppgifter om transaktioner och saldon in för att skapa diagram över användarens konsumtion. Att lämna ut bankkoder till en tredje part kan dock innebära stora risker för att bankuppgifter hamnar i fel händer.12 När någon använder en annan persons identitet för att begå brott brukar man tala om identitetsstöld.