sou · H5B352 · 2017-06-07 00:00:00 — Sammanfattningsvis innehåller kommitténs kraftsamling för stärkande av den personliga integriteten ett 30-tal olika förslag inom flera departementsområden. Ett begränsat antal av förslagen avser ny eller ändrad lagstiftning. Flertalet faller inom ramen för regeringens myndighetsstyrning. För att den här breda ansatsen ska bli praktiskt möjlig att genomföra, bedömer kommittén att man inom bör inrätta en tillfällig projektgrupp med företrädare för berörda departement, som ges i uppdrag att vidareutveckla, samordna, genomföra och följa upp de aktiviteter, som regeringen väljer att gå vidare med. Kommittén är medveten om att huvuddelen av de förslag, som läggs, naturligen bereds först i samband med budgetprocessen för . Kommittén vill dock starkt plädera för att två frågor bereds omgående, nämligen avsättningen av medel för att uppmuntra framtagandet av uppförandekoder samt uppdraget till Statskontoret att genomföra en myndighetsanalys av Datainspektionen. Frågan om uppförandekoderna bör kunna beredas redan i vårpropositionen 2018 och uppdraget till Statskontoret skulle kunna inledas t.o.m. före dess. Båda dessa förslag hänger intimt samman med att dataskyddsförordningen ska börja tillämpas . Det vore därför olyckligt att skjuta upp dessa delar till 2019. Som framgår nedan lägger kommittén inte förslag inom samtliga områden, som har granskats. Det är kommitténs starka förhoppning att den genomförda kartläggningen ändå ska vara till nytta och kunna ligga till grund för insatser och förbättringar inom respektive om- utgångspunkter, uppdrag och arbete I den mån det finns en utpekad ansvarig myndighet kan kartläggningen användas för att rikta särskilda regeringsuppdrag. Den skulle också kunna användas av tillsynsmyndigheten vid urvalet av kommande tillsynsinsatser. När det gäller till exempel personuppgiftsbehandlingen inom polisen anser kommittén att det finns anledning för regeringen att följa polisens förbättringsarbete vad gäller följsamheten till integritetsskyddslagstiftningen. 2.6Integritetskommitténs arbete med betänkandet uppdrag har omfattat personuppgiftsbehandling inom i princip alla samhällsområden. Kommittén har avstått från att fördjupa sig i områden, som andra utredningar ägnar sig åt men däremot fortlöpande följt dessas arbete. Det som redovisas här, är endast de möten och kontakter som kommittén eller sekretariatet haft i samband med arbetet med slutbetänkandet. Kommitténs tidigare möten och kontakter redovisades i delbetänkandet. har träffats vid sju tillfällen och sekretariatet har träffat expertgruppen vid fyra tillfällen. Därutöver har sekretariatet haft kontakter med, bland andra, följande utredningar: Dataskyddsutredningen4, Utredningen om genomförande av NIS-direktivet5, Forskningsdatautredningen6, Socialdataskyddsutredningen7, Utbildningsdatautredningen8 och Utredningen om effektiv styrning av nationella digitala tjänster9. Det i direktivet föreskrivna samrådet med Datainspektionen och har fullgjorts genom att dessa två myndigheter varit representerade i utredningens expertgrupp. Dessutom har sekretariatet haft kontakt med bland andra , , , , Statens servicecenter, kommuner och landsting (SKL), olika utgångspunkter, uppdrag och arbete tjänstleverantörer och branschorganisationer samt vissa arbetsgivarorganisationer och fackliga organisationer. Kommitténs ordförande och sekretariatet har deltagit i olika konferenser och seminarier med anknytning till utredningsuppdraget. I delbetänkandet beskrev vi riskerna för den enskilde individens integritet i olika samhällssektorer och även i samband med olika företeelser som är särskilt intressanta ur integritetssynpunkt. De förslag som kommittén nu presenterar utgår från den riskbedömning som gjordes i delbetänkandet med ett särskilt fokus på de områden och företeelser, där vi funnit allvarliga eller påtagliga risker för den personliga integriteten. Förslagen är indelade i samma verksamhetsområden som i delbetänkandet. Betänkandet är uppdelat i fyra delar. Del I Inledning omfattar Sammanfattning, en engelsk översättning av denna och Författningsförslag (kapitel 1) Del II Integritetskommitténs uppdrag och arbete m.m. omfattar kapitel 2–4. Denna del inleds med detta kapitel (kapitel 2). Därefter följer kapitlet Något om de nya kraven i dataskyddsförordningen (kapitel 3) där kommittén beskriver på vilket sätt förordningen kan vara ett stöd i arbetet med att stärka den enskildes integritet. Därefter kommer kapitel 4 Uppförandekoder i dataskyddsförordningens mening. Del III Kommitténs förslag omfattar kapitel 5–17. I kapitel 5–11 redogör kommittén för sina förslag till åtgärder för att stärka den enskildes integritet inom olika sektorer av samhället. Kapitel 12 handlar om informationssäkerhet och vilka åtgärder som behövs för att stärka detta arbete. Kapitel 13 handlar om samhällets skyddsmekanismer. Därefter kommer kapitel 14 om tillsynsmyndigheten och kapitel 15 handlar om forskning om personlig integritet. I kapitel 16 redogör vi för vår utvärdering av grundlagsskyddet. Det sista kapitlet (17) utgör en konsekvensbeskrivning av våra förslag. Bilagorna till betänkandet presenteras i del IV. 3Något om de nya kraven i dataskyddsförordningen 3.1Ny lagstiftning – nya möjligheter Dataskyddsförordningen ska börja tillämpas . Personuppgiftslagen kommer då att upphöra att gälla och en mängd lagar och andra regler kommer att ha anpassats till att vi har direktverkande EU-regler i stället. Arbetet med att anpassa regelverk och verksamhetsrutiner till dataskyddsförordningen pågår nu för fullt, både hos lagstiftaren genom ett flertal olika statliga utredningar och hos myndigheter och privata verksamheter. anser att regeringen, myndigheterna och företagen bör ta detta tillfälle i akt och använda arbetet med införandet av förordningen som en möjlighet att ta ett nytt och starkt grepp om dataskyddet. Det är ett utmärkt tillfälle att lyfta de personuppgiftsansvarigas arbete med en säker och ändamålsenlig informationshantering till en högre nivå. Innebörden av dataskyddsförordningens bestämmelser måste därför göras lätt tillgängliga för de personuppgiftsansvariga och för allmänheten. Kraven och de möjligheter till bättre dataskydd som dessa innebär måste göras allmänt kända. Detta är en naturlig arbetsuppgift för Datainspektionen. Artikel 29-gruppen1 har givit ut flera vägledningar för hur vissa bestämmelser i förordningen ska tillämpas. 1 Artikel 29-gruppen är en rådgivande och oberoende arbetsgrupp som bland annat har till uppgift att utreda frågor som rör tillämpningen av EU:s dataskyddsdirektiv /46 samt att ge råd om andra föreslagna åtgärder inom EU med avseende på behandling av personuppgifter. Gruppen består av representanter för samtliga dataskyddsmyndigheter i EU:s medlemsstater samt representanter för den Europeisk datatillsynsmannen (EDPS) och EU-kom- missionen. Något om de nya kraven i dataskyddsförordningen året planerar gruppen att ge ut vägledningar om fler frågor om förordningens tillämpning. I detta kapitel uppmärksammar vi några viktiga nyheter i dataskyddsförordningen, jämfört med dagens regelverk (dataskyddsdirektivet och personuppgiftslagen). Flera av de nya bestämmelserna har betydelse för våra förslag och bedömningar i detta slutbetänkande. Ett nytt krav i dataskyddsförordningen, är att den personuppgiftsansvarige ska ansvara för och kunna visa att den följer förordningens principer för behandling av personuppgifter. Det nya kravet omtalas i bland i termer av en ny princip, vilken då kallas för principen om ansvarsskyldighet. Det verkligt nya består här i skyldigheten att kunna visa att regelverket följs. Andra bestämmelser i förordningen pekar på hur detta kan gå till. Exempelvis är ett sätt för den personuppgiftsansvarige att visa detta, att ansluta sig till en godkänd uppförandekod eller en godkänd certifieringsmekanism (art 24.3 och art 32.3). Även för ett personuppgiftsbiträde kan anslutningen till en godkänd uppförandekod eller en godkänd certifieringsmekanism vara ett sätt att visa att biträdet tillhandahåller tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i förordningen och säkerställer att den registrerades rättigheter skyddas (art 28.5). Systematiskt arbete med dataskydd och informationssäkerhet Dataskyddsförordningens krav att den personuppgiftsansvarige ska ansvara för och kunna visa att den följer förordningen, kan jämföras med krav som gäller inom några närliggande områden, där ledningssystem ska användas för att tydliggöra myndighetens ansvar. Myndighetens för samhällsskydd och beredskap (MSB) definierar ett ledningssystem för informationssäkerhet som ett sätt för organisationens ledning att på ett systematiskt sätt styra arbetet Något om de nya kraven i dataskyddsförordningen med informationssäkerhet i syfte att planera, genomföra, kontrollera, följa upp, utvärdera och förbättra säkerheten i verksamhetens informationshantering. För statliga myndigheter finns det exempelvis krav i MSB:s föreskrifter (MSBFS 2016:1) om statliga myndigheters informationssäkerhet. Enligt dessa ska statliga myndigheter bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av ett ledningssystem för informationssäkerhet. I detta arbete ska standarderna ISO/IEC 27001:2014 och ISO/IEC 27002:2014 beaktas. Genom ledningssystemet ska myndigheten bland annat tydliggöra myndighetsledningens och den övriga organisationens ansvar för myndighetens informationssäkerhetsarbete. Vidare ska enligt föreskrifterna tillräckliga resurser tilldelas för informationssäkerhetsarbetet. Dessutom ska löpande och regelbunden information lämnas till myndighetsledningen om detta arbete. Krav på ledningssystemet finns även i föreskrifter och allmänna råd (SOSFS 2011:9) om ledningssystem för systematiskt kvalitetsarbete. Enligt föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården, ska en vårdgivare genom sitt ledningssystem säkerställa informationssäkerheten vid behandling av personuppgifter. Vårdgivaren bör enligt det allmänna rådet till bestämmelsen använda svenska standarder för informationssäkerhet då ledningssystemet byggs upp. Sådana standarder kan vara standarder i ISO/IEC 27000-serien. Innebörden av ett systematiskt arbete För ledningen av en verksamhet är alltså kraven på ett systematiskt arbetssätt för att styra och leda inom ett visst område ofta inte något främmande. Genom att använda sig av ett systematiskt kvalitetsarbete även när det gäller dataskydd och informationssäkerhet, har ledningen för en verksamhet goda förutsättningar för att kunna visa att den följer dataskyddsförordningens bestämmelser. Det bör dock betonas att ett systematiskt arbete med dataskydd och informationssäkerhet inte per automatik innebär att dataskyddsförordningens krav är uppfyllda – verksamheten måste också i den Något om de nya kraven i dataskyddsförordningen konkreta tillämpningen behandla uppgifterna i enlighet med dataskyddsförordningens materiella bestämmelser. 3.3Information till de registrerade Den personuppgiftsansvarige ska enligt dataskyddsförordningens artikel 12 (skäl 58–59) vidta lämpliga åtgärder så att den registrerade får all information och kommunikation om behandlingen, som han eller hon har rätt till. Den ska ges i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk. Detta gäller i synnerhet för information som är särskilt riktad till barn. Informationen ska ges skriftligt, eller i någon annan form. När det är lämpligt ska den ges elektroniskt. Om den registrerade begär det, får informationen ges muntligt, förutsatt att den registrerades identitet bevisats. I dataskyddsförordningen anges på ett tydligare sätt än i dataskyddsdirektivet vad som kan utgöra ett giltigt samtycke. I artikel 7.1 anges att om den registrerades samtycke lämnas i en skriftlig förklaring som också rör andra frågor, ska begäran om samtycke läggas fram på ett sätt som klart och tydligt kan särskiljas från de andra frågorna i en begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk. Vidare ska enligt artikel 7.4 vid bedömning av om samtycke är frivilligt, största hänsyn bland annat tas till om genomförandet av ett avtal, inbegripet tillhandahållandet av en tjänst, har gjorts beroende av samtycke till sådan behandling av personuppgifter som inte är nödvändig för genomförandet av det avtalet. I skälen till förordningen anges även att tystnad, på förhand ikryssade rutor eller inaktivitet inte bör utgöra samtycke.2 Vidare anges i skälen att samtycke inte antas vara frivilligt om det inte medger att separata samtycken lämnas för olika behandlingar av person- 2 Skäl 32. Något om de nya kraven i dataskyddsförordningen uppgifter, trots att detta är lämpligt i det enskilda fallet. Inte heller anses samtycket vara frivilligt om genomförandet av ett avtal – inbegripet tillhandahållandet av en tjänst – är avhängigt av samtycket, trots att samtycket inte är nödvändigt för ett sådant genomförande.3 Dataskyddsförordningen innehåller också bestämmelser om villkor för barns samtycke avseende informationssamhällets tjänster (exempelvis olika sociala medier).4 Dataskyddsförordningen innehåller ett krav på den personuppgiftsansvarige att göra en konsekvensbedömning avseende dataskydd i vissa situationer (artikel 35). Ett sådant, uttryckligt krav finns inte i dataskyddsdirektivet, även om konsekvensbedömningar av detta slag inte är ovanliga . Den vanligaste, engelska benämningen på företeelsen är privacy impact assessment. I dataskyddsförordningens engelska språkversion används uttrycket data protection impact assessment. Bestämmelsen innebär att, om en personuppgiftsansvarig planerar en typ av behandling som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, ska denne före behandlingen göra en bedömning av behandlingens konsekvenser för skyddet av personuppgifterna. Detta är särskilt viktigt i samband med användning av ny teknik. Vilken typ av behandling det handlar om, vilken omfattning den har och i vilket sammanhang och för vilket ändamål, kan också vara omständigheter som bör leda till att en konsekvensbedömning avseende dataskydd ska göras. Den personuppgiftsansvarige ska rådfråga dataskyddsombudet vid genomförandet av konsekvensbedömningen. Artikel 29-gruppen har gett ut en vägledning för konsekvensbedömningar enligt dataskyddsförordningen5 samt en vägledning om dataskyddsombud.6 5WP 248, (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679, . 6WP 243 rev.01, (‘DPOs’), . Något om de nya kraven i dataskyddsförordningen Konsekvensbedömningar enligt andra regelverk För många verksamheter är det inget nytt eller främmande krav att göra en konsekvensbedömning i form av en riskanalys inför exempelvis förändringar i verksamheten eller inför införande av nya metoder och liknande. Riskanalyser ingår dessutom i ett systematiskt informationssäkerhetsarbete. För statliga myndigheter finns det exempelvis krav i MSB:s ovan nämnda föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2016:1). Enligt dessa ska statliga myndigheter bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av ett ledningssystem för informationssäkerhet. Enligt föreskriften ska myndigheterna i syfte att hantera hot och risker som rör informationssäkerheten i verksamheten bland annat klassa information med utgångspunkt i konfidentialitet, riktighet och tillgänglighet i olika nivåer utifrån vilka konsekvenser som kan uppstå av ett bristande skydd, samt identifiera, analysera och bedöma hot och risker för verksamhetens information, system och tjänster. Ett annat exempel är att vårdgivare eller de som bedriver socialtjänst enligt 5 kap. 1 § föreskrifter och allmänna råd (SOSFS 2011:9) om ledningssystem för systematiskt kvalitetsarbete, fortlöpande ska bedöma om det finns risk för att händelser skulle kunna inträffa som kan medföra brister i verksamhetens kvalitet. (som i föreslås bli Datainspektionen7) ska enligt artikel 35.4 upprätta och offentliggöra en förteckning över det slags behandlingsverksamheter som omfattas av kravet på en konsekvensbedömning avseende dataskydd. Myndigheten får också föra en förteckning över sådana behandlingar som inte kräver någon konsekvensbedömning (artikel 35.5). 7 Utredningens om tillsynen över den personliga integriteten betänkande, Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65) och betänkande, Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). När tillsynsmyndigheten enligt dataskyddsförordningen berörs i det som följer, omnämner vi den ibland som Datainspektionen. Något om de nya kraven i dataskyddsförordningen Förhandssamråd regleras i artikel 36 i dataskyddsförordningen, och kommenteras i skäl 94. Av artikeln framgår att den personuppgiftsansvarige ska samråda med tillsynsmyndigheten före en behandling av personuppgifter om en konsekvensbedömning visar att behandlingen skulle leda till en hög risk, om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken. Om tillsynsmyndigheten anser att den planerade behandlingen skulle strida mot förordningen, ska myndigheten ge den personuppgiftsansvarige och personuppgiftsbiträdet skriftliga råd och utnyttja alla sina befogenheter enligt artikel 58 (exempelvis att begära mer information, att förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att se till att behandlingen görs i enlighet med förordningen, eller att införa en begränsning av behandlingen). Genom dataskyddsförordningen införs en skyldighet för den personuppgiftsansvarige att anmäla till tillsynsmyndigheten om det inträffar en så kallad personuppgiftsincident. Detta är i dataskyddsförordningen en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som behandlats. Även den registrerade ska informeras om incidenten om den sannolikt leder till en hög risk för enskildas rättigheter och friheter. Detta regleras i artikel 33 och 34 (skäl 85–88). Avvikelserapportering i andra sammanhang Med avvikelse avses i flera sammanhang att verksamheten inte når upp till krav och mål enligt lagar och andra föreskrifter och beslut som har meddelats med stöd av sådana föreskrifter. Krav på incidentrapportering finns i MSB:s föreskrifter (MSBFS 2016:2) om statliga myndigheters rapportering av it-inciden- ter. Här ges föreskrifter om hur statliga myndigheter till MSB ska rapportera it-incidenter som allvarligt kan påverka säkerheten i den infor- Något om de nya kraven i dataskyddsförordningen mationshantering som myndigheten ansvarar för, eller i tjänster som myndigheten levererar till en annan organisation. Krav på intern incidenthantering finns i MSB:s föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2016:1). En myndighet ska enligt dessa ha rutiner för att identifiera, rapportera, bedöma, hantera och dokumentera incidenter som kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation. Myndigheten ska ha rutiner för att lära av sådana inträffade incidenter och utförda åtgärder. I hälso- och sjukvårdslagstiftningen finns exempelvis bestämmelser som reglerar skyldigheter att rapportera vårdskador och risker för vårdskador. Vårdgivaren har som ansvarig för verksamheten en skyldighet att utreda rapporter om händelser som medfört eller hade kunnat medföra en vårdskada. Framkomna avvikelser ska även medföra att den som bedriver verksamhet ser över sina processer och rutiner. Visar avvikelserna att processer och rutiner inte är ändamålsenliga för att säkra verksamhetens kvalitet så ska dessa förbättras. Detta innebär att verksamheten blir en lärande organisation. Utifrån framkomna avvikelser förbättras fortlöpande verksamhetens styrning så att liknande avvikelser inte återupprepas. Därmed utvecklas och säkras verksamhetens kvalitet. Att en avvikelse inträffar i en verksamhet är något negativt. Men som en del av ett systematiskt förbättringsarbete är det viktigt att betona att varje upptäckt av en sådan avvikelse är något positivt. Genom upptäckten av en avvikelse säkerställs dels att den kan åtgärdas, dels att verksamheten får en möjlighet att se över sin styrning och därigenom kan förhindra att liknande avvikelser återupprepas. 3.8Inbyggt dataskydd och dataskydd som standard Dataskyddsförordningen innehåller till skillnad från dataskyddsdirektivet uttryckliga krav på s.k. inbyggt dataskydd (på engelska privacy by design) och dataskydd som standard (på engelska privacy by default). Enligt artikel 25 ska den personuppgiftsansvarige bland annat, med beaktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt ris- Något om de nya kraven i dataskyddsförordningen kerna för fysiska personers rättigheter och friheter, genomföra lämpliga tekniska och organisatoriska åtgärder – såsom pseudonymisering – vilka är utformade för ett effektivt genomförande av dataskyddsprinciper – såsom uppgiftsminimering – och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i dataskyddsförordningen uppfylls och den registrerades rättigheter skyddas. Detta kan också uttryckas som att den personuppgiftsansvarige ska låta integritetsfrågor påverka ett it-systems hela livscykel – från förstudie och kravställning via design och utveckling till användning och avveckling.8 Den personuppgiftsansvarige ska enligt artikel 25 också genomföra lämpliga tekniska och organisatoriska åtgärder för att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Framför allt ska säkerställas att personuppgifter (i standardfallet) inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer. I syfte att specificera hur dataskyddsförordningen ska tillämpas inom en viss bransch eller sektor, får sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden, utarbeta uppförandekoder (artikel 40). Uppförandekoder behandlas mer ingående i kapitel 4. Dataskyddsförordningen innehåller också bestämmelser om certifieringar (artikel 41). Dessa är certifieringsmekanismer för dataskydd och sigill och märkningar för dataskydd som syftar till att visa att personuppgiftsansvarigas eller personuppgiftsbiträdens behandling är förenlig med dataskyddsförordningen. Medlemsstaterna, tillsynsmyndigheterna, dataskyddsstyrelsen och kommissionen ska uppmuntra, särskilt på unionsnivå, införandet av certifieringsmekanismer. Förordningen innehåller också bestämmelser om hur och av vem certifiering kan utfärdas. 8 Se Datainspektionens informationsbroschyr Inbyggd integritet (). Något om de nya kraven i dataskyddsförordningen Genom dataskyddsförordningen införs en skyldighet för tillsynsmyndigheten att i vissa situationer besluta om administrativa sanktionsavgifter på eller av organisationens omsättning när en organisation missköter sin behandling av personuppgifter. Det saknas någon motsvarande bestämmelse i dataskyddsdirektivet. I förordningens artikel 83 föreskrivs att varje tillsynsmyndighet ska säkerställa att påförande av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Dataskyddsförordningen innehåller en förstärkning av rätten att få åtkomst till sina personuppgifter när syftet är att föra över dem till en annan leverantör av elektroniska tjänster, så kallad dataportabilitet (artikel 20).