sou · H5B352 · 2017-06-07 00:00:00 — Vidare publicerar , EU:s nätverks- och informationssäkerhetsbyrå, löpande studier och rekommendationer för att förbättra informationssäkerheten i samhället. Även andra internationella organ ger rekommendationer om informationssäkerhet, som exempelvis och På standardiseringsområdet finns det flera olika initiativ för att systematisera och harmonisera arbetet med cyber- och informationssäkerhet. Dataskyddsförordningen ställer en rad krav på såväl tekniska som organisatoriska informationssäkerhetsåtgärder. Vissa av dessa krav finns redan i dataskyddsdirektivet, medan andra är nya: Personuppgiftsbiträden får ett eget ansvar för informationssäkerheten även när de behandlar uppgifter enligt instruktion från den personuppgiftsansvarige (artikel 32.1). 3Betänkande av NISU 2014, Informations- och cybersäkerhet i , (SOU 2015:23). 4En detaljerad förteckning över internationella organisationer på området och hur de arbetar, finns i betänkandet Informations- och cybersäkerhet i (SOU 2015:23). Det införs en anmälningsskyldighet för personuppgiftsincidenter (artikel 33). Uttryckliga krav införs på inbyggt dataskydd och dataskydd som standard (artikel 25). Viss precisering görs (i förhållande till dataskyddsdirektivet) av de allmänna kraven på säkerhet i samband med behandlingen (artikel 32). Det införs en skyldighet att göra konsekvensbedömningar avseende dataskydd (artikel 35). Dataskyddsombudets roll i övervakningen av efterlevnaden av dataskyddsreglerna förtydligas och ändras delvis (artikel 39.1). Det föreskrivs vidare att dataskyddsombudet ska rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå (artikel 38.3). förslag: Regeringen bör vidta de utredningsåtgärder som är nödvändiga för att genomföra det förslag som lämnades i SOU 2015:23 om att Myndigheten för samhällsskydd och beredskap (MSB) ska utöva tillsyn över statliga myndigheters informationssäkerhetsarbete. I betänkandet Informations- och cybersäkerhet i Sverige5 föreslogs att tillsynen över den statliga sektorns informationssäkerhet skulle samordnas och förstärkas, genom att MSB ges i uppgift att bedriva tillsyn över statliga myndigheters arbete med informationssäkerhet. Bakgrunden till förslaget var såväl konstaterade brister i statliga myndigheters informationssäkerhet som den splittrade tillsynen, som innebär att ingen myndighet har ett helhetsperspektiv med samtidig möjlighet till tillsyn. Förslaget bereds ännu inom . anser utifrån sin kartläggning i delbetänkandet, att behovet av mer och bättre tillsyn över statliga myndig- 5 SOU 2015:23. heters informationssäkerhet har ökat sedan MSB föreslogs få ett tillsynsansvar i betänkandet . Kommittén anser därför att regeringen bör vidta de utredningsåtgärder som är nödvändiga för att genomföra förslaget om tillsynsansvar för MSB över den statliga sektorns informationssäkerhet. I arbetet bör beaktas bland annat att Datainspektionen i sitt remissvar på det aktuella betänkandet uppmärksammat att förslaget inte innehöll några tillsynsbefogenheter för MSB (exempelvis skyldighet för myndigheterna att lämna uppgifter till MSB).6 Eftersom förslaget lämnats relativt , bör de utredningsinsatser som kan bli aktuella för i den här frågan, rimligen vara mindre omfattande. är statliga myndigheter skyldiga att anmäla it-incidenter till MSB. När dataskyddsförordningen ska börja tillämpas kommer alla myndigheter, företag och organisationer att behöva anmäla personuppgiftsincidenter till Datainspektionen. Vi anser att det är av stor betydelse hur både MSB och Datainspektionen agerar när de får in anmälningarna. Förutom att inleda tillsyn i vissa fall, är det önskvärt att bägge myndigheterna sammanfattar och publicerar detaljerade rapporter och analyser rörande de inkomna anmälningarna. Detta i syfte att med största möjliga transparens möjliggöra att personuppgiftsansvariga kan lära av andras misstag och att de kan vidta konkreta åtgärder för att förbättra skyddet för sina data och sina system. Sådana rapporter skulle också utgöra ett bra beslutsunderlag för regeringen i det fortsatta arbetet med att förstärka samhällets informationssäkerhet. Vi menar att MSB och Datainspektionen i detta arbete kan få viss ledning från arbetet med olyckor inom luft- och sjöfarten, där granskar inträffade olyckor i syfte att komma fram till vad som kan göras för att en liknande händelse inte ska inträffa , eller i syfte att minska konsekvenserna om händelsen inträffar igen. 6 Datainspektionens remissyttrande i dnr 934-2015. 12.2.4Uppföljning av statliga myndigheter förslag: Regeringen bör uppdra åt MSB att beträffande myndigheter under regeringen följa upp vilka åtgärder myndigheterna vidtar för att följa kraven i MSB:s föreskrifter (MSBFS 2016:1) om statliga myndigheters informationssäkerhet. I delbetänkandet redovisas en rad olika brister i statliga myndigheters informationssäkerhetsarbete. Intrycket av att det behövs åtgärder för att förbättra arbetet, har sedermera stärkts genom MSB:s sammanställning över myndigheternas incidentrapportering till MSB, Säkerhetspolisen och Försvarsmakten.7 I sammanställningen framgår bland annat att MSB bedömer att det som rapporterats inte ligger i paritet med det verkliga antalet allvarliga it-incidenter. Bland de inrapporterade incidenterna, är störning i driftmiljö och angrepp de vanligaste incidentkategorierna. Vidare framgår att bland dem som har drabbats av infektioner i it-system, har de myndigheter som haft en god ordning på sin it-verksamhet fått mindre störningar än de som inte haft lika bra kontroll över sin it-verksamhet. Mot denna bakgrund, anser kommittén att regeringen närmare bör följa vilka åtgärder som statliga myndigheter vidtar i syfte att förbättra informationssäkerheten och integritetsskyddet. Förslagsvis ges MSB i uppdrag att genomföra en uppföljning av vilka åtgärder myndigheterna vidtar i detta hänseende. Inledningsvis kan uppföljningen ta sikte på vilka åtgärder myndigheterna vidtagit för att följa kraven i MSB:s föreskrifter (MSBFS 2016:1)om statliga myndigheters informationssäkerhet. MSB:s uppföljning kan antingen avse alla myndigheter under regeringen, eller endast avse ett urval av sådana myndigheter som hanterar känsliga personuppgifter eller stora mängder av personuppgifter. I sin återrapportering av uppdraget bör MSB även rekommendera åtgärder ner på myndighetsnivå. Regeringen bör, med utgångspunkt i , i respektive myndighets regleringsbrev 7 MSB:s Årsrapport , daterad med dnr 2016-6304-7. ålägga myndigheten att vidta vissa åtgärder i informationssäkerhetsarbetet. En lämplig, om än inte nödvändig, förutsättning för ett uppföljningsuppdrag av detta slag, är att MSB ges det tillsynsmandat som tidigare föreslagits och som kommittén anser nu bör genomföras. bedömning: De insatser för att åstadkomma uppförandekoder som kommittén föreslår i andra avsnitt i detta betänkande, bör innehålla informationssäkerhetsåtgärder som framträdande inslag. Om insatserna förverkligas, kan de innebära en generell förbättring av förutsättningarna för en bättre informationssäkerhet i samhället. På en rad områden föreslår kommittén i detta betänkande att regeringen genom sina myndigheter ska initiera och stödja de personuppgiftsansvarigas och personuppgiftsbiträdenas arbete med att ta fram uppförandekoder för sina respektive områden. Som framgår i de områdesspecifika avsnitten i detta betänkande, kan uppförandekoderna i enlighet med dataskyddsförordningens artikel 40.2 h innehålla specificeringar bland annat av vilka åtgärder som krävs inom de olika branscherna för att säkerställa säkerhet vid behandling i enlighet med dataskyddsförordningens artikel 32, dvs. Vi föreslår att regeringen ska initiera och stödja framtagandet av uppförandekoder inom konsumentområdet, skolan, hälso- och sjukvården, arbetslivet och e-förvaltningen. Informationssäkerhetsåtgärder bör utgöra ett framträdande inslag i samtliga dessa koder. När det gäller informationssäkerhet och dataskydd inom hälso- och sjukvårdssamt socialtjänstområdet föreslår kommittén att staten tar ett särskilt ansvar genom att en myndighet får i uppdrag att vara sekretariat för arbetet med att ta fram och förvalta en uppförandekod för dessa integritetskänsliga verksamheter (kapitel 7). Om arbetet med koder blir verklighet, kan det innebära en generell förbättring av förutsättningarna för olika aktörer i samhället, både offentliga och privata, att förbättra sin informationssäkerhet. förslag: Regeringen bör ge MSB i uppdrag att i samverkan med andra myndigheter utveckla, förvalta och vidareutveckla en styrmodell för statens informationssäkerhet, i enlighet med det som föreslagits i SOU 2015:23. I betänkandet Informations- och cybersäkerhet i Sverige8 efterlyses en nationell satsning på systematiskt informationssäkerhetsarbete i statlig verksamhet. Utredningen föreslog därför att ett gemensamt ramverk, en nationell styrmodell, för statens informationssäkerhetsarbete ska etableras: Genom denna ska ett för de statliga myndigheterna gemensamt förhållningssätt till informationssäkerhetsfrågor säkerställas. Styrmodellen blir en gemensam bas för statligt informationssäkerhetsarbete. Utredningens förslag avser i första hand de statliga myndigheterna och ska vara normerande för dessa men styrmodellen kan utsträckas till att omfatta hela den offentliga sektorn. En gemensam styrmodell syftar enligt betänkandet till att myndigheters informationssäkerhetsarbete ska utföras på ett enhetligt sätt. Syftet är också att skapa en gemensam syn på en grundskyddsnivå av informationssäkerhet i staten och att höja denna från dagens situation i vissa verksamheter. Det ska alltså skapas en samlad modell innefattande bland annat gemensamma metoder för inventering av informationstillgångar, riskanalys, riskhantering, informationsklassning, avbrotts- och kontinuitetshantering, definierade skyddsnivåer med tillhörande skyddsåtgärder, gemensamma kravbilder och säkerhetsnivåer, terminologi för informationssäkerhetsarbete och regelverk. Styrmodellen ska enligt betänkandet baseras på existerande krav i författningar och verksamheternas behov. Enligt förslaget ska MSB vara den myndighet som bör få i uppdrag att utveckla, förvalta och vidareutveckla styrmodellen. Utifrån de risker rörande informationssäkerheten hos myndigheterna som konstaterades i delbetänkande, och utifrån de nya krav på informationssäkerhet som uppställs i dataskyddsförordningen, delar kommittén bedömningen att det behövs en nationell styr- 8 SOU 2015:23. modell för informationssäkerhet i samhället på sätt som föreslogs i SOU 2015:23. Vi föreslår därför att regeringen genomför detta förslag. gjorde i delbetänkandet bedömningen att den fysiska eller juridiska person som gör sig skyldig till ett otillbörligt intrång i någon annans personliga integritet, löper liten risk att råka ut för någon sanktion, vare sig av tillsynsmyndigheten, genom någon ersättningsskyldighet eller något straff. Den som drabbas av intrånget får inte någon ersättning som motsvarar den upplevda kränkningen. Sanktionssystemet har på så sätt inte den kompensatoriska och den preventiva effekt som är önskvärd. Det allmänna har ett ansvar för att skydda enskildas privatliv och integritet. De skyddsmekanismer som kommittén undersökte i delbetänkandet var: En ytterligare faktor, som påverkar enskildas möjligheter att skydda sig mot intrång i den personliga integriteten är: Den enskildes kunskap om digitaliseringen och dess effekter på den personliga integriteten. Kommittén har bedömt att omfattningen av tillsynen inom området inte är tillräckligt stor för att säkerställa skyddet för behandlade personuppgifter på ett önskvärt sätt. Kommitténs bedömningar och förslag som gäller tillsynsmyndigheten finns i kapitel 14. Kommittén har bedömt att de olika formerna av ekonomisk kompensation som finns, inte används i sådan omfattning som vore önskvärt för att skydda och kompensera enskilda för otillåtet intrång i den personliga integriteten. Företag, myndigheter eller enskilda personer som begår ett otillåtet intrång i andras personliga integritet, löper en mycket liten risk att behöva ersätta den skadelidande för intrånget. Vi anser därtill att de belopp som betalas ut ofta är låga. Kommittén har bedömt att det är svårt för enskilda att över huvud taget veta vart de ska vända sig för att få kompensation för en kränkning. Enskilda avhåller sig också från att driva skadeståndsärenden på grund av att den ekonomiska risken är stor. Det ingår därtill inte i Datainspektionens uppdrag att bistå enskilda i mål om skadestånd vid allmän domstol. Kommittén har bedömt att de straffrättsliga sanktionerna inte heller används i sådan omfattning som vore önskvärt. Den som begår ett otillåtet intrång i andras personliga integritet, löper mycket liten risk att råka ut för någon straffrättslig sanktion. Detta, i kombination med låga straffsatser och att de bakomliggande regelverken (bland annat personuppgiftslagen och registerförfattningarna) är relativt komplicerade, minskar möjligheten till lagföring och skadestånd. Internetrelaterad brottslighet ställer krav på både specialistkompetens och tillräckliga resurser hos polis och åklagare. 13.2Åtgärder för att stärka skadeståndsrätten som rättsmedel förslag: Regeringen bör låta utreda frågan om Datainspektionen ska ges i uppdrag att som part föra talan i domstol, för en enskild som medger det, i utvalda ersättningsärenden. 13.2.1Rätt att driva enskildas skadeståndsärenden När en enskild person utsätts för intrång i sin personliga integritet är det svårt för honom eller henne att tillvarata sina rättigheter. Be- stämmelserna om hur personuppgifter får hanteras är komplicerade och utgör till stora delar av ramlagstiftning, som måste fyllas ut av rättstillämpningen. Regelverket för ekonomisk kompensation är också svårtillgängligt. Därtill är riskerna med att inleda en rättslig process stora, om det inte är ett mål som går att driva som ett förenklat tvistemål.1 Detta medför att det kan vara svårt för en enskild person att ta till vara sina rättigheter. Datainspektionen förfogar över specialistkunskap rörande rättsläget avseende tillämpningen av integritetsskyddslagstiftningen. Genom sin sakkunskap har myndigheten unika förutsättningar att överblicka behovet av vägledande avgöranden inom området och driva ett målinriktat arbete med att stärka rättsutvecklingen. En möjlighet för Datainspektionen att föra talan i principiellt viktiga mål i domstol skulle underlätta för myndigheten att fullgöra sitt uppdrag att på olika sätt motverka integritetskränkningar.2 anser därför att förutsättningarna för att införa en rätt för Datainspektionen att i vissa fall av integritetskränkningar företräda enskilda i domstol bör utredas. Det finns redan andra myndigheter som har liknande uppgifter att företräda enskilda som lidit skada, exempelvis , och Barn- och elevombudet vid Skolinspektionen. 1Yrkandet om ersättning ska då enligt 1 kap. 3 d § vara lägre än ett halvt basbelopp. 2Datainspektionen har efterlyst att en sådan möjlighet för myndigheten utreds, se Datainspektionens skrivelse till regeringen (Datainspektionens dnr 1760-2011). Syftet med att på detta sätt utöka även Datainspektionens verktyg är främst att ge möjlighet för myndigheten att ta initiativ till att driva ärenden och skapa praxis inom områden där sådan saknas. Det är alltså inte fråga om att inrätta en allmän ombudsmannafunktion för enskilda som har anspråk på skadestånd. Kommittén bedömer att detta skulle kunna bli en alltför resurskrävande arbetsuppgift för Datainspektionen, vars främsta prioritet bör vara den aktiva tillsynen. Däremot anser vi att ett praxisskapande arbete skulle gynna både tillsynsverksamheten och skyddet för den personliga integriteten. Även andra enskilda än den som Datainspektionen valt att företräda kan dra nytta av att myndigheten driver principiellt viktiga ärenden. Kommittén anser att de kriterier som bör ligga till grund för valet av ärenden som Datainspektionen ska driva, behöver utredas närmare och därmed bör omfattas av utredningsuppdraget. Utöver principiellt viktiga ärenden kan det finnas andra urvalskriterier. Datainspektionen bör kanske också kunna företräda en enskild i ärenden som avser intrång som har drabbat ett mycket stort antal andra enskilda på ett mycket kränkande sätt. Det kan kanske också vara så att det finns ömmande skäl för att myndigheten ska företräda den enskilde. Vi anser att en utredning bör få i uppdrag att utreda under vilka förutsättningar som Datainspektionen ska få företräda enskilda i tvister om ersättning för integritetsintrång. Regeringen har därtill möjlighet att ge Datainspektionen i uppdrag att företräda en grupp av enskilda med stöd av lagen (2002:599) om grupprättegång. Enligt 6 § denna lag får offentlig grupptalan väckas av en myndighet som med hänsyn till vad tvisten rör är lämpad att företräda gruppmedlemmarna. Det är regeringen som bestämmer vilka myndigheter som får väcka offentlig grupptalan. I kapitel 14 om tillsynsmyndigheten kommenterar vi på vilka sätt och på vilka grunder lagstiftaren kan styra Datainspektionens arbetsuppgifter. I dataskyddsförordningens artikel 58.6 anges dessutom att varje medlemsstat i lagstiftning får föreskriva att dess tillsynsmyndighet ska ha ytterligare befogenheter utöver dem som avses i punkterna 1, 2 och 3 i artikel 58. Utövandet av dessa ytterligare befogenheter ska enligt dataskyddsförordningen inte påverka den effektiva tillämpningen av förordningens kapitel VII. Förordningens kapitel VII rör samarbete och enhetlighet mellan medlemsstaternas tillsynsmyndigheter. Rätten till skadestånd framgår av dataskyddsförordningens artikel 82 som är placerad i förordningens kapitel VIII. möjlighet i lag för Datainspektionen att som part föra talan i domstol för enskilda, bör därför anses som förenlig med förordningens artikel 58.6. En sådan möjlighet skulle förstärka enskildas rätt till skadestånd, och kan på så sätt anses bidra till ett starkt integritetsskydd, vilket är ett av de grundläggande syftena med förordningen. En möjlighet av detta slag för Datainspektionen skulle också bidra till att stärka enskildas rätt enligt artikel 79 till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde. Ersättningsnivån när det gäller skadestånd bestäms av praxis. Det är därför svårt att påverka storleken på de belopp som domstolarna dömer ut. Det finns dock exempel på att lagstiftaren gjort vissa försök att påverka ersättningsbelopp. I diskrimineringslagen finns exempelvis möjlighet att ta hänsyn till preventiv effekt vid bestämmande av ersättning. Enligt diskrimineringslagen ska den som bryter mot förbuden mot diskriminering eller repressalier eller som inte uppfyller sina skyldigheter att utreda och vidta åtgärder mot trakasserier eller sexuella trakasserier, betala diskrimineringsersättning för den kränkning som överträdelsen innebär. När ersättningen bestäms ska därför särskilt syftet att motverka sådana överträdelser av lagen beaktas. Ersättningen ska betalas till den som kränkts av överträdelsen. Överträdelser av diskrimineringslagstiftningen ska enligt förarbetena3 därför ses som en allvarlig kränkning: När diskriminering förekommit, ska påföljden vara kännbar för den skyldige. Regeringen anser att den nya diskrimineringslagen bör skapa förutsättningar för kraftfulla och avskräckande påföljder vid diskriminering. Valet av påföljd bör ske med utgångspunkt i detta ställningstagande. I nuvarande diskrimineringslagar har skadestånd valts som påföljd vid överträdelser av lagstiftningen. Skadeståndet har här en dubbel funktion; det ska dels ge kompensation åt den som drabbas, dels avhålla från överträdelser. Genom denna preventiva funktion fyller skadestånd vid diskriminering delvis andra ändamål än vanligt skadestånd. Vid skadestånd med anledning av brott uppfylls den preventiva funktionen även av de påföljder som föranleds av brottet i fråga, t.ex. 3 Regeringens proposition, Ett starkare skydd mot diskriminering, prop. 2007/08:95, s. 390. fängelse eller böter för den skyldige. I de flesta fall av överträdelser av den svenska diskrimineringslagstiftningen är skadeståndet däremot den enda preventiva sanktion som förekommer vid dessa kränkningar. I NJA 2014 s. 499 I och II uttalade sig om hur denna regel i diskrimineringslagen ska förstås. konstaterade att ersättningen i diskrimineringsersättningssammanhanget fyller en dubbel funktion. Den ska ersätta den kränkning som diskrimineringen innebär men också avskräcka från diskriminering. Båda dessa funktioner påverkar ersättningens bestämmande. delade upp ersättningen i två komponenter: Upprättelseersättning och preventionspåslag. När det gäller upprättelsekomponenten kan ersättningens bestämmande utgå från den praxis som vuxit fram under skadeståndslagens regel i 2 kap. 3 §. Preventionspåslaget ska enligt domstolen normalt kunna uppskattas till samma belopp som upprättelseersättningen, även om det finns utrymme att avvika uppåt och nedåt. Lägsta diskrimineringsersättning blir således i regel , i jämförelse med att lägsta kränkningsersättningsbelopp under skadeståndslagens regel är . Genom Högsta domstolens avgöranden, får alltså diskrimineringsersättningens preventiva funktion en framträdande roll. Enligt 48 § i nu gällande personuppgiftslag ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. kommer i stället motsvarande rätt till ersättning att gälla direkt enligt artikel 82 i dataskyddsförordningen. Varje registrerad som anser att hans eller hennes rättigheter enligt förordningen har åsidosatts till följd av att personuppgifter har hanterats på ett sätt som inte är förenligt med förordningen har enligt artikel 79 rätt till ett effektivt rättsmedel. Vi kan konstatera att även när det gäller integritetskränkande brott är straffrättsliga påföljder ovanliga. Skadestånd skulle därför även inom detta område kunna ha en viktigt preventiv funktion. En tänkbar åtgärd vore därför att låta utreda möjligheten att komplettera dataskyddsförordningen med en bestämmelse i svensk lag om att beakta det preventiva syftet när ersättningsbeloppet bestäms. Det skulle kunna möjliggöra en ersättning som i likhet med diskrimineringsersättning består av två komponenter; upprättelseersättning och preventionspåslag. Vid bedömningen av hur ersättningen i så fall skulle bestämmas anser kommittén att det allmänna intresset av att motverka integritetskränkningar genom brott mot dataskyddsförordningen borde ha särskild betydelse.4 Detta innebär att ersättningen generellt skulle kunna bestämmas till så höga belopp att påföljden effektivt verkar avhållande från överträdelser. När det gäller överträdelser som begås i näringsverksamhet borde en sådan bestämmelse innefatta en möjlighet att beakta exempelvis omsättningen i verksamheten. I en verksamhet med hög omsättning torde det i normalfallet krävas ett högre ersättningsbelopp för att den avskräckande effekten ska uppnås. En annan faktor som kunde inverka är i vilken mån tidigare överträdelser av dataskyddsförordningen förekommit i verksamheten. En sådan bestämmelse skulle enligt kommittén ligga i linje med dataskyddsförordningens krav på effektiva rättsmedel. Vi bedömer dock att en utredning av frågan om att komplettera förordningen enligt resonemanget ovan kan anstå till dess att dataskyddsförordningen har varit ikraft och effekterna av förändringarna bättre kan överblickas. Något om ersättningsreglerna i dataskyddsförordningen Enligt förordningens artikel 82.1 ska varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av förordningen ha rätt till ersättning från den personuppgiftsansvarige för den uppkomna skadan. En nyhet i förordningen är att även personuppgiftsbiträden kan bli skadeståndsskyldiga under vissa förutsättningar.