sou · H5B352 · 2017-06-07 00:00:00 — Så stärker vi den personliga integriteten SOU och Ds kan köpas från kundservice. Beställningsadress: kundservice, 106 47 Ordertelefon: Webbplats: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2017 Regeringen beslutade att tillkalla en parlamentarisk kommitté med uppdrag att utifrån ett individperspektiv kartlägga och analysera sådana faktiska och potentiella risker för intrång i den personliga integriteten, som kan uppkomma i samband med användning av informationsteknik i såväl privat som offentlig verksamhet (dir. 2014:65). Regeringen förordnade som ordförande. Sist i detta missiv finns en förteckning över förordnade ledamöter i kommittén, experter och sekreterare. Kommittén antog namnet . beslutade regeringen i tilläggsdirektiv till kommittén (dir. 2016:12) att en del av uppdraget skulle redovisas i ett delbetänkande . Delbetänkandet skulle enligt beslutet omfatta dels kartläggningen och analysen av riskerna för integritetsintrång, dels ett övervägande om behovet av ett integritetsskyddsråd. Hur står det till med den personliga integriteten? (SOU 2016:41) . Kommittén har i det fortsatta arbetet följt upp effekterna i lagstiftningsarbetet av den förstärkning av grundlagsskyddet för den personliga integriteten, som genomfördes . Kommittén presenterar i slutbetänkandet också förslag på åtgärder för att minska de integritetsrisker som kartlagts. Förteckning över ledamöter, experter och sekreterare som deltagit i utredningsarbetet samt tider för dessas förordnanden och anställningar (f.d. generaldirektör, ordförande), fr.o.m. 2014-05-18 (riksdagsledamot, ), fr.o.m. 2014-06-27 (riksdagsledamot, ), fr.o.m. 2015-05-19 (politisk sekreterare, SD), fr.o.m. 2014-06-27 (riksdagsledamot, ), fr.o.m. 2014-06-27 Xamuel (kommunfullmäktigledamot ), fr.o.m. 2015-04-28 (riksdagsledamot, ) fr.o.m. 2016-10-20 (riksdagsledamot, ), fr.o.m. 2014-06-27 (advokat, ), fr.o.m. 2014-06-27 (riksdagsledamot, ), fr.o.m. 2015-01-22 (leg. psykolog, ), fr.o.m. 2014-07-30 (riksdagsledamot, ), fr.o.m. 2014-06-27 (kommunikationsansvarig, V), fr.o.m. 2016-03-16 (f.d. riksdagsledamot, ), fr.o.m. 2014-06-27 (riksdagsledamot, ), fr.o.m. 2014-10-23 (riksdagsledamot, ), fr.o.m. 2014-06-27 (riksdagsledamot, ), fr.o.m. 2014-10-20 (riksdagsledamot, ), fr.o.m. 2014-06-27 (riksdagsledamot, ), fr.o.m. 2016-10-20 (riksdagsledamot, ), fr.o.m. 2016-11-07 (riksdagsledamot, ), fr.o.m. 2014-06-27 Skånberg (riksdagsledamot, ), fr.o.m. 2014-06-27 (riksdagsledamot, ), fr.o.m. 2016-10-18 (jurist, ), fr.o.m. 2016-03-23 (ämneslärare, V), fr.o.m. 2015-05-19 (f.d. riksdagsledamot, ), fr.o.m. 2014-06-27 (riksdagsledamot, ), fr.o.m. 2015-05-19 , (rättssakkunnig, ), fr.o.m. 2016-07-14 (jurist, ), fr.o.m. 2014-08-18 , (it-säkerhetsspecialist, ), fr.o.m. 2016-08-25 (enhetschef, för samhällsskydd och beredskap), fr.o.m. 2014-06-27 (säkerhetschef, i ), fr.o.m. 2014-10-20 (jurist, ), fr.o.m. 2015-08-20 , (internationell sekreterare, konsumenter), fr.o.m. 2016-07-14 (jurist, ), fr.o.m. 2014-06-27 (it-säkerhetsspecialist, för samhällsskydd och beredskap), fr.o.m. 2016-03-23 (jurist, ), fr.o.m. 2014-10-20 , (dataråd, Datainspektionen) fr.o.m. 2016-09-12 (professor, ), (ämnesråd, ), fr.o.m. 2014-06-27 , jurist, fr.o.m. 2015-11-16 , enhetschef, fr.o.m. 2014-06-09 , dåvarande hovrättsassessor, fr.o.m. 2014-07-01 DEL I, Inledning Förslag till förordning om ändring i kommittéförordningen (1998:1474).................................... DEL II, uppdrag och arbete m.m. Kommitténs sammantagna bedömning ................................. Målet med kommitténs arbete ............................................... Den enskildes ställning behöver stärkas ................ Behov av kraftsamling ............................................. Verksamheter som vi anser är särskilt viktiga att åtgärda .... Forskning om digitalisering och integritet ............ Det fortsatta arbetet ............................................................... arbete med betänkandet .................. Något om de nya kraven i dataskyddsförordningen ........ Ny lagstiftning – nya möjligheter.......................................... Information till de registrerade ............................................. Inbyggt dataskydd och dataskydd som standard ................. Uppförandekoder och certifieringar ..................................... Allmänt om uppförandekoder ...................................... Initiativ till uppförandekod .................................... Samråd med de registrerade.................................... Godkännande av uppförandekod ........................... Behandling i flera medlemsstater ........................... Nyttan med uppförandekoder ............................... 4.2 Exempel på uppförandekoder i och andra länder .... Svenska uppförandekoder om personuppgifter .... 4.2.3Exempel på uppförandekoder om annat 4.2.4Exempel i andra länder på uppförandekoder 4.3Statliga myndigheters roller och resurser i arbetet DEL III, förslag Förslag till åtgärder ................................................................. Statlig kontroll och styrning................................... Förslag till åtgärder ............................................................... Hälso- och sjukvård och välfärdsteknik Hälso- och sjukvård .............................................. 7.1.2Användning av välfärdsteknik inom 7.2Åtgärd för både hälso- och sjukvården och socialtjänst – uppförandekoder som tillämpningsstöd........................... Genomföra visionen om e-hälsa ........................... 7.2.2Digitalisering, dataskydd och Behov av tillämpningsstöd .................................... 7.2.4Normen – en norsk förebild när det gäller 7.2.5Uppförandekoder som metod att öka skyddet för den personliga integriteten ............................. Åtgärd – stärka ansvarstagandet .......................................... Hälso - och sjukvården .......................................... Åtgärd – ställföreträdare för beslutsoförmögna................. Förslag till ...............................................................åtgärder 8.2.1En myndighet med samlat ansvar för den offentliga förvaltningens digitalisering ................ Utredning om ”medborgarprofilering” ............... Regeringens digitala strategier.............................. 8.2.5Förhandssamråd och uppförandekoder för e- Förslag till ...............................................................åtgärder Risker som .................uppmärksammats i delbetänkandet Åtgärd – ..................branschen tar fram uppförandekoder Åtgärd – ...........................................reglerad tystnadsplikt Åtgärder inom några andra områden med allvarliga eller påtagliga .................................................risker Några andra riskområden som behandlades i kommitténs ................................................delbetänkande Bank - och kreditmarknad 12.2.4 ....................Uppföljning av statliga myndigheter Åtgärder för att stärka skadeståndsrätten 13.2.1 ........Rätt att driva enskildas skadeståndsärenden Åtgärder för att förbättra det straffrättsliga 13.3.1 Rapportering om det straffrättsliga sanktionssystemet i den årliga redovisningen 13.3.2 Ändamålsenlig och effektiv utredning av it - relaterad brottslighet 13.3.5Andra befintliga förslag till att stärka den 13.4 Åtgärder för att förbättra den enskildes kunskaper ........... För lite tillsyn ........................................................ För lite resurser ..................................................... För lite vägledning ................................................ 14.1.5 Nya krav enligt dataskyddsförordningen ............ 14.2.1Regeringens möjligheter att styra och behov av anslag............................................... Forskning om personlig integritet............................... 15.1.1 Forskning om inverkan på människor 15.1.2 Användningen av integritetsskyddande teknik ... Förslag till åtgärder............................................................... Stöd till forskning ................................................. 15.2.2 Integritetsskyddande teknik och arbetssätt ........ Uppföljning av grundlagsskyddets effekt 16.1.1 Bakgrunden till det förstärkta integritetsskyddet i regeringsformen................... 16.1.2 Hur lagstiftningsarbetet ska gå till....................... Urval och metod ................................................... Resultatet av granskningen................................... Förslag till åtgärder............................................................... Ändring i kommittéförordningen........................ Konsekvenser av våra förslag .................................... Konsekvenser för individer ................................... Kostnader och kostnadsbesparingar..................... Konsekvenser för individer ................................... Kostnader och kostnadsbesparingar..................... Hälso- och sjukvård och välfärdsteknik inom Konsekvenser för individer ................................... Kostnader och kostnadsbesparingar..................... Konsekvenser för individer ................................... Kostnader och kostnadsbesparingar..................... Konsekvenser för individer ................................... Kostnader och kostnadsbesparingar..................... Åtgärder inom några andra områden med allvarliga eller Konsekvenser för individer ................................... Kostnader och kostnadsbesparingar..................... Konsekvenser för individer .................................. Kostnader och kostnadsbesparingar .................... Konsekvenser för individer .................................. Kostnader och kostnadsbesparingar .................... Forskning om personlig integritet ...................................... Konsekvenser för individer .................................. Kostnader och kostnadsbesparingar .................... Generellt om kostnader och finansiering............................ Konsekvenser för den kommunala självstyrelsen............... Konsekvenser för små företag ............................................. Förslagens påverkan på sysselsättning i olika regioner och för privatpersoners och företags tillgång till service ... Konsekvenser för brottsförebyggande arbete och de integrationspolitiska målen...................................... Konsekvenser för klimat och miljö ..................................... DEL IV, Bilagor Bilaga 1 Kommittédirektiv 2014:65 ............................................... Bilaga 2 Kommittédirektiv 2016:12 ............................................... Vi lever våra liv såväl på nätet, som i den fysiska världen. När vi agerar på nätet lämnar vi spår efter oss. Spår, som går att använda för att underlätta vår vardag, men också för att tjäna pengar på oss och för olika former av kartläggning och övervakning. Det blir allt svårare att ha kontroll på hur våra uppgifter samlas in och vidareanvänds. generella slutsats är att vi som enskilda individer på ett flertal områden drabbas av stegvisa försämringar av den personliga integriteten. Målsättningen för vårt arbete i kommittén har varit att skyddet av den personliga integriteten ska stärkas så att denna grundläggande rättighet är i balans med andra grundläggande rättigheter och legitima samhällsintressen. Dataskyddsförordningen1 ska börja tillämpas . Personuppgiftslagen kommer då att upphöra att gälla och en mängd lagar och andra regler kommer att ha anpassats till att vi har en direktverkande EU-lagstiftning i stället. 1 och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). För att bryta den utveckling som innebär stegvisa försämringar av den personliga integriteten behövs en kraftsamling inom en rad områden. Tidpunkten för en sådan kraftsamling är just nu mycket lämplig, med tanke på att samtliga samhällsområden lägger ned betydande insatser för att förvekliga förordningens intentioner. anser att det är otillfredsställande att 2 kap. 6 § andra stycket regeringsformen tillämpas på så olika sätt av utredningar, myndigheter och inom . En mer enhetlig förståelse och tillämpning av bestämmelsen skulle enligt vår bedömning gynna såväl integritetsskyddet som digitaliseringen av förvaltningen, genom att det tydligare skulle framgå vilka avvägningar som ett förslag aktualiserar. Lagstiftningsarbetet skulle inte på samma sätt som riskera att tappa tempo på grund av att beredningsunderlag behöver kompletteras relativt sent i lagstiftningsprocessen – vilket ibland överhuvudtaget inte låter sig göras. En mer enhetlig förståelse och tillämpning av bestämmelsen skulle också spara resurser i lagstiftningsprocessen. Vi anser att det är angeläget att statliga kommittéer och särskilda utredare blir bättre på att uppmärksamma och tillämpa det grundlagsfästa kravet på lagstiftningsarbetet som stadgas i 2 kap. 6 § andra stycket regeringsformen. Vi förslår därför att regeringen bör införa en bestämmelse i kommittéförordningen med innebörden att, om ett förslag har betydelse för den personliga integriteten i de fall som avses i 2 kap. 6 § andra stycket regeringsformen, så ska dessa konsekvenser beskrivas i betänkandet. anser också att regeringen bör utvärdera, utveckla och vid behov uppdatera Datainspektionens vägledning för integritetsanalys. Vi har som enskilda personer ofta små möjligheter att påverka hur uppgifter om oss hanteras. Vi är hänvisade till att lita på att de personuppgiftsansvariga skyddar uppgifterna. Om uppgifter sprids utan kontroll, försvanskas eller förstörs kan det innebära integritetskränkningar. Brister i informationssäkerhet medför alltså ett sämre skydd för den personliga integriteten. Vi konstaterar att det pågår flera olika utredningar och satsningar i och på EU-nivå som syftar till att förbättra informationssäkerheten i samhället. Dataskyddsförordningen kommer också att ställa krav på de personuppgiftsansvariga och personuppgiftsbiträdena avseende såväl tekniska som organisatoriska informationssäkerhetsåtgärder. Men även lämnar ett par förslag på detta område. Vissa av de skyddsåtgärder som kan användas, exempelvis anonymisering, pseudonymisering och kryptering, är svåra att införa inom vissa samhällssektorer. Därför finns det ett behov av samordning på nationell nivå, exempelvis när det gäller standarder och normer. Det finns även ett behov av att i högre grad integrera arbetet med att skydda den personliga integriteten med det traditionella informationssäkerhetsarbetet. Kommittén anser också att det finns ett behov av mer och bättre tillsyn över statliga myndigheters informationssäkerhet. Vi anser därför att regeringen bör bereda ett redan befintligt förslag om att Myndigheten för samhällsskydd och beredskap (MSB) ska utöva tillsyn över den statliga sektorns informationssäkerhet. I kapitel 12 om informationssäkerhet beskriver vi våra förslag på detta område. Det pågår en rad olika utredningar och satsningar i och på EU-nivå som syftar till att förbättra integritetsskyddet. Flera statliga utredningar har arbetat och arbetar med att anpassa vår lagstiftning till dataskyddsförordningen. en2 har föreslagit3 de anpassningar och kompletterande författningsbestämmelser på generell nivå, som förordningen ger anledning till. Syftet är att säkerställa att det finns en ändamålsenlig och välbalanserad kompletterande nationell reglering om personuppgiftsbehandling på plats, när förordningen börjar tilllämpas. Forskningsdatautredningen4 ska i sin tur bland annat analysera vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas utöver den generella reglering, som har föreslagit med anledning av förordningen. Den omständigheten att dataskyddsförordningen ska börja tilllämpas om mindre än ger en särskild skjuts åt arbetet med att stärka integritetsskyddet. Samtliga personuppgiftsansvariga måste arbeta med att anpassa sin personuppgiftshantering till de nya bestämmelserna. Vidare har man i arbetat med att ta fram en nationell strategi för informations- och cybersäkerhet, som tar sin utgångspunkt i det förslag som lades fram i betänkandet Informations- och cybersäkerhet i Sverige.5 Strategin ska presenteras . Utredningen om genomförande av NIS-direktivet har haft i uppdrag att föreslå hur EU-direktivet om åtgärder för en hög gemensam nivå av säkerhet i nätverk och informationssystem ska genomföras i svensk rätt.6 Utredaren föreslår i betänkandet Informationssäkerhet för samhällsviktiga och digitala tjänster7 bland annat hur direktivets krav på utpekande av myndigheter med ansvar för vissa funktioner ska genomföras. Inriktningen är att MSB ska ges en samordnande roll på området, men att andra myndigheters ansvar för tillsyn inom särskilda sektorer ska fortsätta att gälla. 3Dataskyddsutredningens betänkande Ny dataskyddslag (SOU 2017:19). 2016:65 och dir. 2017:29. 5NISU:s 2014 betänkande Informations- och cybersäkerhet i , (SOU 2015:23). 6Europaparlamentets och Rådets direktiv (eu) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. övriga förslag till åtgärder Vårt huvuduppdrag har varit att från ett individperspektiv kartlägga och analysera faktiska och potentiella risker för intrång i den personliga integriteten i samband med användning av informationsteknik. Denna granskning presenterade vi i vårt delbetänkande Hur står det till med den personliga integriteten? 8 Vi har sett det som vårt uppdrag att också ge förslag på åtgärder som kan stärka skyddet för den personliga integriteten. I detta betänkande presenteras förslagen utifrån olika verksamhetsområden som behandlar uppgifter om oss som enskilda. Här sammanfattar vi några av de viktigaste förslagen. Sammanslutningar, som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden, kan inom en viss bransch eller sektor lämna förslag till specificeringar om hur man i praktiken ska tillämpa dataskyddsförordningen inom sitt område. Sådana specificeringar kallas i dataskyddsförordningen för uppförandekoder. En uppförandekod kan även omfatta verksamhet som bedrivs av myndigheter. En uppförandekod kan också beskrivas som en sorts branschvis självreglering i syfte att konkretisera regelverket. Vi tror att uppförandekoder kan bli ett effektivt hjälpmedel för att höja skyddet av den personliga integriteten inom flera områden. Arbetet med att ta fram förslag till uppförandekoder ska utföras av de personuppgiftsansvarigas eller personuppgiftsbiträdenas branschorganisationer, men arbetet med att uppmuntra, granska och godkänna uppförandekoder är enligt dataskyddsförordningen ett uppdrag för myndigheter. Vi föreslår t.ex. att regeringen uppdrar åt att initiera och stödja utarbetandet av uppförandekoder för branscher där personuppgifter hanteras för huvudsakligen kommersiella ändamål. bedömer att uppdraget i första hand ska inriktas mot att specificera tillämpningen rörande samtycke respektive intresseavvägning som laglig grund för behandlingen av person- 8 delbetänkande Hur står det till med den personliga integriteten? (SOU 2016:41). uppgifter, samt innehåll och form för den information som ska ges till de registrerade. I arbetet med att initiera och stödja framtagandet av uppförandekoder, kan exempelvis bjuda in branschorganisationerna och andra ansvariga myndigheter till ett samtal om förutsättningarna för en uppförandekod på området (kapitel 9). Vi föreslår också att ges i uppdrag att initiera och stödja utarbetandet av en uppförandekod för hantering av personuppgifter i skolan (kapitel 5). När det gäller hantering av personuppgifter i hälso- och sjukvården och föreslår vi också att en myndighet får i uppdrag att initiera och stödja utarbetandet av en uppförandekod. För att ytterligare stödja de personuppgiftsansvariga i denna känsliga personuppgiftshantering föreslår vi därtill att den myndighet som får uppdraget, ska upprätta ett sekretariat som stödjer de personuppgiftsansvariga i det praktiska arbetet med koden (kapitel 7). Tydligare reglering i lag Inom vissa områden har konstaterat att det saknas viktig reglering om hur personuppgifter ska hanteras. Denna brist lämnar de personuppgiftsansvariga i ett svårt läge. De har ansvaret för att på bästa sätt tolka den allmänt hållna reglering som finns, men riskerar att trots god vilja göra fel bedömningar, vilket naturligtvis i slutändan också riskerar att drabba den enskilde. Vi har inte haft möjlighet att inom ramen för vårt uppdrag ta fram kompletta lagförslag. Vi föreslår därför ytterligare utredningar eller beredningar av tidigare lagda lagförslag inom flera områden, bland annat dessa: anser att det behövs en ny reglering för den personuppgiftsbehandling som förekommer inom . Personuppgiftsbehandlingen inom bör i likhet med personuppgiftsbehandlingen i hälso- och sjukvården regleras i en egen lag. En sådan lag bör utformas med beaktande av det lagstiftningsutrymme som dataskyddsförordningen ger. En komplett och tydlig lagstiftning inom detta område ökar förutsättningarna för ett ordnat införande av välfärdsteknik inom . Regeringen bör, med utgångspunkt i befintliga förslag, utreda möjligheten till ny lagstiftning som reglerar hantering av personuppgifter inom och som kompletterar och specificerar kraven i dataskyddsförordningen (kapitel 7). Nya integritetsstärkande regler bör skyndsamt införas i patientdatalagen Vårdgivarens övergripande ansvar för en säker och ändamålsenlig hantering av personuppgifter i verksamheten bör uttryckas tydligare och på ett samlat sätt i patientdatalagen. Vi anser att det behövs ett kapitel i lagen som samlar de bestämmelser som förtydligar både vårdgivarens och hälso- och sjukvårdspersonalens ansvar för en säker hantering av personuppgifter i verksamheten. Regler som ökar detaljeringsnivån i lagen kan göra det lättare för de verksamheter som ska tillämpa regelverket (kapitel 7). En reglering av medborgarprofilering I delbetänkandet konstaterade att det finns allvarliga risker för den personliga integriteten i sådan kontrollverksamhet hos myndigheter, som syftar till att i förväg bedöma vilken sannolikhet det finns för att en viss individ ska begå någon form av felaktighet. Denna typ av kontroller kallas ibland för ”smarta kontroller” eller ”urvalsprofiler”. I delbetänkandet använde vi uttrycket ”medborgarprofilering” som samlingsbegrepp för företeelsen. Vi anser att det finns ett behov av att kartlägga hur både statliga och kommunala myndigheter arbetar med smarta kontroller och att föreslå de lagändringar som behövs för att ge denna verksamhet en tydlig och legal grund och styrning, som beaktar både behovet av kontroller och den enskildes personliga integritet samt rätten att inte bli diskriminerad. Kommittén anser därför att regeringen bör utreda denna fråga närmare (kapitel 8). Det genereras allt fler och allt mer detaljerade uppgifter om eleverna i skolan, alltifrån hur de använder sig av läromedel och chattar med klasskamraterna, till vilka kamrater de helst syns tillsammans med i skolan. För elever i och gymnasieskolan finns inte någon sekretess eller tystnadsplikt för större delen av den växande uppgiftsmassan. Vi anser att regeringen bör utreda frågan om ett utökat sekretsskydd för uppgifter om elever i skolans it-system (kapitel 5). Lagreglering av vissa spaningsmetoder När det gäller de brottsbekämpande myndigheternas verksamhet har vi gjort bedömningen att det finns påtagliga risker för den personliga integriteten när det gäller vissa integritetskänsliga spaningsmetoder.