sou · H5B352 · 2017-06-07 00:00:00 — bedömning: Kommittén ställer sig bakom förslaget från Statens servicecenter att regeringen i närtid bör initiera ett uppdrag att närmare analysera förutsättningarna för att inrätta en ”statens molntjänst” i enlighet med rapporten från Statens servicecenter.6 I rapporten i staten, lämnar en rad förslag för att förbättra förutsättningarna för den offentliga förvaltningens, särskilt statens, användning av molntjänster. skriver bland annat följande. För att tillvarata potentialen i molntjänster behöver myndigheter i alla sektorer kunna få stöd och vägledning när de ska köpa externa tjänster. Kunskapen som samlas i ett kompetenscenter behöver vara både bred och djup. Stödet behöver vara både flexibelt och kraftfullt och kräver en organisation för löpande förvaltning. Den aktör som utses som ansvarig bör ha egen erfarenhet av operativ it och erfarenhet av alla perspektiv på externa tjänster – juridik, säkerhet, teknik, organisation m.m. Samarbete bör ske med bl.a. MSB för praktiskt stöd inom området säkerhet. Det bör finnas möjlighet för nyckelpersoner inom it-avdelningar, jurister, säkerhetsexperter, verksamhetsutvecklare m.fl. att söka konsultativt stöd hos kompetenscentret. Som en del i satsningen på ett kompetenscenter ska den ansvariga aktören tillhandahålla en webportal där man samlar information om internationella standarder, riktlinjer, juridiska och säkerhetsrelaterade vägledningar, avtalsexempel, information om internationella certifieringar m.m. Där bör också finnas aktuell information om EU-projekt och nyheter om andra aktiviteter av intresse på EU-nivå och internatio- 6 Rapporten gemensam statlig molntjänst för myndigheternas it-drift, Statens servicecenter, 2017. Portalen bör även kunna tillhandahålla blogg eller digitala grupperingar där myndigheter kan utbyta erfarenheter från inköp av molntjänster och erfarenheter av implementeringsprocesser. Till kunskapscentret ska ett nationellt nätverk mellan kontaktpersoner för molntjänstfrågor på olika myndigheter knytas. föreslår därför att det utses en myndighet eller annan aktör som ska tillhandahålla ett kompetenscenter för vägledning och kunskapsutbyte mellan myndigheter i frågor som rör anskaffning och användning av externa it-tjänster. Kompetenscentret ska ge stöd och vägledning till offentliga aktörer i statlig, och landstingskommunal sektor samt till potentiella leverantörer. Kompetenscentret ska även agera nod för ett nationellt myndighetsnätverk för molntjänster. förslag har inte lett till några åtgärder från regeringen. Kommittén har i delbetänkandet uppmärksammat risker till följd av brister i myndigheternas kompetens när det gäller it-utveckling. Vi ställer oss därför bakom förslag. Vi anser att ett sådant kompetenscenter lämpligen bör falla inom ansvarsområdet för den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering. Kommittén föreslår därför att regeringen uppdrar åt denna myndighet att upprätta och tillhandahålla ett kompetenscenter för frågor som rör anskaffning och användning av externa it-tjänster. Ett kompetenscenter kan bidra till att den offentliga förvaltningen blir bättre kravställare i upphandlingar, bland annat vad gäller kraven på inbyggd integritet och informationssäkerhet. Bättre och tydligare krav från det allmännas sida, kan även påverka marknaden utanför offentlig sektor. I rapporten i staten, uppmärksammar även avsaknaden av tystnadsplikt för leverantörer. skriver bland annat följande. Myndigheter behöver kunna anlita privata leverantörer av it-tjänster för att kunna få kostnadseffektiva och moderna it-lösningar som stödjer verksamhetens utveckling. kan offentlighets- och sekretesslagens bestämmelser hindra myndigheter från att lämna ut vissa typer av sekretessbelagda uppgifter till privata it-leverantörer eftersom det saknas straffrättsligt sanktionerade tystnadsplikter för anställda hos sådana aktörer. Det handlar t.ex. om uppgifter av särskilt integritetskänsligt slag som rör enskilda och som inte bedöms kunna lämnas ut ens om leverantören och dess anställda ingår en avtalsrättslig tystnadspliktsförbindelse. Om leverantören i stället lyder under en i lag reglerad och straffsanktionerad tystnadsplikt borde det ges större utrymme för myndigheten att lämna ut uppgifterna till leverantören, utan hinder av sekretess, och om det i övrigt är lämpligt, eftersom risken för att uppgifterna obehörigen sprids torde vara relativt låg. föreslår därför att det ska utredas om det är lämpligt och ändamålsenligt att införa en lagreglerad och straffsanktionerad tystnadsplikt för privata leverantörer av it-tjänster, i syfte att underlätta för myndigheter att uppdra åt dessa aktörer att hantera myndighetens sekretessreglerade information. Kommittén har i sina kontakter med myndigheter fått veta att avsaknaden av tystnadsplikt för leverantörer både ger ett sämre integritetsskydd och försvårar digitaliseringen, genom att det råder tveksamhet om när en myndighet får överlåta åt ett personuppgiftsbiträde att hantera uppgifter. Vi delar därför uppfattning i frågan. Vi bedömer att det behövs en utökning av tystnadsplikten och föreslår därför att regeringen låta utreda hur ett regelverk för tystnadsplikt för leverantörer av molntjänster och andra personuppgiftsbiträden skulle kunna utformas. Förslaget bör utformas så att det utgör en balanserad avvägning mellan tystnadsplikten respektive meddelarfriheten. I sin , föreslår även att det bör genomföras en fördjupad analys av förutsättningarna för att inrätta ett eller flera statliga myndighetsmoln och myndighetsgemensamma tjänster i . Frågan om ett statligt moln är av betydelse för den personliga integriteten och kan innebära bättre möjligheter att skydda personuppgifter som behandlas av myndigheterna. Statens servicecenter har som del av ett regeringsuppdrag analyserat förutsättningarna för att skapa en samordnad eller gemensam funktion för delar av statliga myndigheters it-verksamhet. I rapporten gemensam statlig molntjänst för myndigheternas it-drift föreslår Statens servicecenter att merparten av de statliga myndigheternas itdrift bör samordnas i en statlig molntjänst. Förslaget bör enligt Statens servicecenter rent praktiskt genomföras genom att regeringen i närtid initierar ett uppdrag att närmare analysera förutsättningarna för att inrätta ”statens molntjänst”, som underlag inför ett regeringsbeslut om en sådan tjänst. I uppdraget bör enligt Statens servicecenter ingå att bland annat närmare analysera lämplig verksamhetsform för den statliga molntjänsten och de juridiska förutsättningarna för inrättandet av tjänsten. I rapporten från Statens servicecenter betonas att en statlig molntjänst skulle innebära att itsäkerheten och driftsäkerheten förstärks kraftigt inom staten: ”Med statens molntjänst kommer it-säkerheten för hela statsförvaltningen att bli mycket hög och utan kompromisser”. Mot bakgrund av de risker och brister som redovisats i delbetänkandet avseende offentlig användning av publika molntjänster, ställer sig bakom förslaget att regeringen i närtid bör initiera ett uppdrag att närmare analysera förutsättningarna för att inrätta ”statens molntjänst” i enlighet med rapporten från Statens servicecenter. Kommittén vill i sammanhanget betona vikten av att regeringen i det fortsatta utredningsarbetet även analyserar risker för den personliga integriteten med en statlig molntjänst, exempelvis den omständigheten att många uppgifter från olika myndigheter samlas i en tjänst och således blir tekniskt åtkomliga för personal som arbetar med den statliga molntjänsten.7 Även när en statlig molntjänst är i drift, kommer det att finnas ett fortsatt behov av ett kompetenscenter för frågor som rör anskaffning och användning av externa it-tjänster. Det beror dels på att kompetenscentret ska rikta sig även till landsting, kommuner och leverantörer, och dels på att statliga myndigheter kommer att behöva använda sig också av andra externa it-tjänster än dem som kommer att tillhandahållas i den statliga molntjänsten. 7 berörs i den nämnda rapporten, exempelvis på s. 58. 8.2.3Utredning om ”medborgarprofilering” förslag: Regeringen bör låta utreda hur statliga och kommunala myndigheter arbetar med medborgarprofilering8, hur myndigheterna bör eller kan arbeta med sådana kontroller, samt föreslå de lagändringar som behövs. I delbetänkandet konstaterade kommittén att det finns allvarliga risker för den personliga integriteten i sådan kontrollverksamhet hos myndigheter, som syftar till att i förväg bedöma vilken sannolikhet det finns för att en individ ska begå någon form av felaktighet. Denna typ av kontroller brukar ibland kallas för ”smarta kontroller” eller ”urvalsprofiler”. Sådan verksamhet väcker en rad juridiska frågor, som även är grundlagsrelaterade. Frågor väcks både avseende de interna kontrollerna (som görs enbart med uppgifter som finns hos den aktuella myndigheten) och också andra slags kontroller (som görs med användning även av uppgifter som finns hos andra myndigheter, företag och organisationer eller som finns åtkomliga på nätet). framhöll vi i delbetänkandet även att det är synnerligen angeläget, både ur det allmännas och ur medborgarnas perspektiv, att myndigheterna på ett effektivt sätt kan använda sig av egna data och av nätet för att förebygga misstag och oegentligheter. I delbetänkandet berörs endast två statliga myndigheters arbete med medborgarprofilering. Det finns enligt vår bedömning emellertid anledning att anta att detta slags arbete även förekommer såväl hos andra statliga myndigheter, som i den kommunala sektorn (där det kan tänkas förekomma exempelvis inom ramen för prövningar av rätten till försörjningsstöd eller när kommunala bolag ingår hyresavtal med enskilda personer). Mot bakgrund av detta, anser kommittén att det finns ett angeläget behov av att kartlägga hur både statliga och kommunala myndigheter arbetar med kontroller och att föreslå de lagändringar som behövs för att ge denna verksamhet en tydlig och legal grund och styrning som beaktar både behovet av kontroller och den enskildes 8 Härmed avses sådan kontrollverksamhet hos myndigheter, som syftar till att i förväg bedöma vilken sannolikhet det finns för att en individ ska begå någon form av felaktighet. Denna typ av kontroller brukar kallas för ”smarta kontroller” eller ”urvalsprofiler”. I delbetänkandet använder vi medborgarprofilering som samlingsbegrepp för dessa företeelser. personliga integritet och rätten att inte bli diskriminerad. Vi anser därför att regeringen bör låta utreda denna fråga närmare. I utredningsuppdraget bör ingå att undersöka vilka myndigheter, både statliga och kommunala, som ägnar sig åt medborgarprofilering samt hur dessa kontroller genomförs, exempelvis vilka slags uppgifter som används och vilken betydelse uppgifterna tillmäts. Vidare bör ingå att utreda hur kontroller kan utföras på ett effektivt sätt utan att stå i konflikt med grundläggande bestämmelser om diskrimineringsförbudet i regeringsformen och om integritetsskydd i dataskyddsförordningen och i de registerförfattningar som är aktuella. I uppdraget bör därefter ingå att föreslå en samlad lagstiftning för hur kontroller får genomföras av myndigheter avseende exempelvis vilka uppgifter som får användas och hur uppgifterna får användas. Det bör också utredas vilken information om kontrollerna som ska lämnas till de registrerade, särskilt med avseende på förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt dataskyddsförordningens artiklar 22.1 och 22.4. Det bör utredas även hur det i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade (exempelvis information om de bakomliggande algoritmerna).9 förslag: Regeringen bör komplettera sina digitala strategier med en formulering om att ska bli världsledande på att skydda den personliga integriteten utan att minska takten i digitaliseringen. presenterade regeringen en strategi för en digitalt samverkande statsförvaltning: Med medborgaren i centrum. Strategin förtydligar och preciserar de mål och strategiska ställningstaganden som uttrycks i den förvaltningspolitiska propositionen och i den digitala agendan för . I strategin sägs bland annat följande. … statsförvaltningen spelar en central roll i utvecklingen av . Den ska vara innovativ, samverkande, rättssäker och effektiv, samt ha en väl utvecklad kvalitet, service och tillgänglighet. 9 Jfr artiklarna 13–15 i dataskyddsförordningen. bidra till utveckling och ett effektivt EU-arbete. ska vara bäst i världen på att använda digitaliseringens möjligheter. Samma ambitionsnivå – att ska vara bäst i världen på att använda digitaliseringens möjligheter – återkommer som det övergripande målet för regeringens beslutade strategi för hur digitaliseringspolitiken ska bidra till konkurrenskraft, full sysselsättning samt ekonomiskt, socialt och miljömässigt hållbar utveckling.10 Mot bakgrund av de brister i integritetsskyddet och informationssäkerheten i den offentliga förvaltningen, som kommittén konstaterade i delbetänkandet, anser vi att regeringens nämnda strategier bör kompletteras med den uttryckliga ambitionen att ska bli världsledande både på att använda digitaliseringens möjligheter och på att skydda den personliga integriteten, utan att för den skull minska takten i digitaliseringen. 8.2.5Förhandssamråd och uppförandekoder för e-förvaltningen bedömning: ställer sig bakom förslaget i betänkandet digitalforvaltning.nu11 att den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering, ska stödja andra myndigheter i utarbetandet av gemensamma uppförandekoder enligt dataskyddsförordningen. Ett allmänt hållet regelverk Det finns inget särskilt regelverk, utöver personuppgiftslagen, för hur personuppgifter ska hanteras hos myndigheter i allmänhet eller för hur olika myndigheter ska samverka. ska dataskyddsförordningen tillämpas, som är allmänt hållen. Det finns däremot speciella regelverk för vissa områden, som exempelvis patientdatalagen och Socialförsäkringsbalken. finns det hos statliga och kommunala myndigheter ett stort behov av kunskap om hur reglerna ska tillämpas i specifika situationer. 10Se För ett hållbart digitaliserat – en digitaliseringsstrategi (dnr N2017/03643/D). Många av de frågor om regelverkets tillämpning som uppkommer inom e-förvaltningen, rör specifika projekt. Sådana frågor kommer förmodligen i många fall behöva förhandsgranskas av Datainspektionen enligt det förfarande som i dataskyddsförordningen kallas för förhandssamråd (artikel 36). Frågor som kan tas upp i uppförandekoder för e-förvaltningen Det förekommer även att frågor om regelverkets tillämpning inom e-förvaltningen är av mer generell och återkommande natur samt uppstår hos flera myndigheter. I dessa fall behövs det vid tolkning av regelverket en mer allmänt hållen tillämpningshjälp som lämpligen kan ges i form av uppförandekoder (se kapitlet om uppförandekoder) i stället för genom förhandssamråd. Det är också lämpligt att de vägledningar och riktlinjer som redan finns anpassas till dataskyddsförordningen och till det nationella regelverk som kommer att vara i kraft , och att de görs om till uppförandekoder. Sådana uppförandekoder kan exempelvis handla om följande frågor: Elektroniskt informationsutbyte genom direktåtkomst eller genom utlämnande på medium för automatiserad behandling (jfr E-sams12 vägledning Elektroniskt informationsutbyte – en vägledning för utlämnande i elektroniskt form). egna utrymmen hos myndigheter (jfr E-sams vägledning Eget utrymme hos myndighet). Myndigheters användning av sociala medier (jfr E-sams vägledning Riktlinjer för myndigheters användning av sociala medier). Vidare är det lämpligt att uppförandekoder för e-förvaltningen bemöter dels de risker som kommittén har identifierat inom e-för- valtningen, dels de skyldigheter som kommer att åligga myndig- 12 E-sam är enligt egen beskrivning ett medlemsdrivet program för samverkan mellan myndigheter och Kommuner och Landsting (SKL) om digitaliseringen av det offentliga . E-sam bildades när E-delegationen upphörde . heterna enligt dataskyddsförordningen. Det rör sig om exempelvis följande frågor: Hur myndigheterna ska gå till väga för att uppfylla kravet på register i artikel 30 dataskyddsförordningen över vilka behandlingar av personuppgifter som görs hos myndigheten. Lämpligtvis ges en metod eller mall (med exempel) för praktisk inventering och dokumentation av vilka personuppgifter som hanteras (både av myndigheten och av eventuella leverantörer). Hur konsekvensbedömningar avseende dataskydd (artikel 35 i dataskyddsförordningen) ska genomföras före införandet av varje nytt system eller större ändring i befintliga system. Det kan röra sig om att myndigheten börjar använda ett nytt, egenutvecklat system, ska upphandla ett system från en extern leverantör eller införa ändringar i befintliga system eller arbetssätt. Det kan även ges en mall eller exempel för hur en konsekvensbedömning kan genomföras i praktiken. Hur inbyggt dataskydd och dataskydd som standard ska införas (artikel 25 i dataskyddsförordningen) med angivande av exempel. Exempel på rutiner och riktlinjer för hur skyddade personuppgifter ska hanteras. Exempelvis kan anges att det klart och tydligt måste framgå att personuppgifter är skyddade, till exempel genom flaggning, och att det inte ska råda någon som helst oklarhet om att det är uppgifter som särskilt behöver skyddas.13 Hur och när uppgifter ska gallras, och hur datasskyddsbestämmelserna ska tillämpas i förhållande till arkivregelverket. Exempel på informationssäkerhetsåtgärder som myndigheter behöver vidta för att uppfylla kraven i artikel 32 i dataskyddsförordningen (avseende exempelvis behörighetsstyrning, åtkomstkontroll, säkerhet vid åtkomst över internet osv). Exempelvis kan anges att – när utrustning ansluts till internet eller annat öppet nät – bör anslutningen skyddas för att förhindra obehörig trafik. I samma syfte bör åtkomst förhindras från det öppna nätet till annan utrustning eller lokala nät hos den personuppgiftsansvarige. 13 Se Datainspektionens Checklista för skolor – Skyddade personuppgifter i skolan (). Om uppgifterna endast får lämnas ut till identifierade användare bör mottagarens identitet säkerställas genom e-legitimation, engångslösenord, aktiva behörighetskort eller motsvarande. Vilken information som måste ges till de personer vilkas uppgifter myndigheten hanterar. Här bör exempelvis anges hur information kan ges med hjälp av standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över hur uppgifterna hanteras och av vem.1 Andra frågor som kan tas upp i en uppförandekod är kontroller på nätet och i sociala nätverk, och personuppgiftsansvarets placering. Vem ska uppmuntra utarbetandet av uppförandekoder? Skyldigheten att uppmuntra utarbetandet av uppförandekoder enligt artikel 40 i dataskyddsförordningen gäller inte bara Datainspektionen. Staten både kan och bör agera genom andra myndigheter. När det gäller den offentliga förvaltningen är det närmast den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering som är aktuell. Kommittén ställer sig därför bakom förslaget i betänkandet digitalforvaltning.nu att den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering, ska stödja andra myndigheter i utarbetandet av gemensamma uppförandekoder enligt dataskyddsförordningen. Uppmuntrandet kan exempelvis göras genom att myndigheten bjuder in relevanta myndigheter för ett samtal om förutsättningarna för en uppförandekod på ett visst område, där även alternativen till en uppförandekod kan tas upp. Om det inte finns en uppförandekod, måste myndigheterna utan närmare tolkningshjälp tillämpa dataskyddsförordningen eller annan, allmänt hållen ramlagstiftning. Det skulle kunna innebära en ökad risk för administrativa sanktionsavgifter enligt artikel 83 i dataskyddsförordningen. 1 Se skäl 60 i dataskyddsförordningen. Här hanteras flera områden samlat, även om de i delbetänkandet behandlades separat under beteckningarna konsumenter, sociala medier och big data. Dessa områden flyter oftast ihop ur den enskildes perspektiv; exempelvis när sociala medier använder sig av big data i marknadsföringsändamål. Som framgår av kommitténs delbetänkande, anser vi att det sammantaget finns allvarliga risker för konsumenters personliga integritet, på grund av: bristen på information till de enskilda konsumenterna, den stora spridningen av uppgifter för nya ändamål, och den ökade totala mängden av uppgifter om den enskilde. Beträffande sociala medier anser kommittén sammantaget att användningen av vissa sociala medier innebär en allvarlig risk för den personliga integriteten, när: användandet kan medföra att ett stort antal närgångna uppgifter om den enskilde oavsiktligen exponeras för andra användare, det förekommer att sociala medier använder uppgifterna för egna ändamål och sprider dem vidare till andra företag, det är svårt för användarna att få klarhet i vilken hantering som kan förekomma, när användarvillkoren väl har godkänts, och den enskildes valmöjlighet är begränsad till att antingen godkänna samtliga villkor, eller att avböja och därmed helt ställa sig utanför det sociala mediet. Kommittén anser att big data för med sig en allvarlig risk för den personliga integriteten, eftersom: big data innebär att uppgifter hanteras för nya ändamål som inte är kända vid insamlingen, den enskilde förlorar både kännedom om och inflytande över hur uppgifterna hanteras, med big data blir det särskilt tydligt att personuppgifter betraktas som en handelsvara med ett högt kommersiellt värde, och det finns hög risk för spridning av uppgifterna till parter som inte är kända för den enskilde. förslag: Regeringen bör ge i uppdrag att initiera och stödja utarbetandet av uppförandekoder för de branscher där personuppgifter hanteras för huvudsakligen kommersiella ändamål som exempelvis marknadsföring. Ett allmänt hållet regelverk Det finns på konsumentområdet inget allmänt regelverk för hur personuppgifter ska hanteras hos företag och andra organisationer. Det är egentligen bara på kreditupplysningsområdet som det finns en speciallagstiftning om integritetsskydd, i form av kreditupplysningslagen. När det gäller aktiviteter på nätet är även vissa bestäm- melser i lagen (2003:389) om elektronisk kommunikation av betydelse, exempelvis finns här regler om samtycke till kakor (cookies).1 Således är det i allt väsentligt personuppgiftslagen som ska tillämpas på området, och dataskyddsförordningen. Enligt dataskyddsförordningen är möjligheten till nationell lagstiftning som reglerar personuppgiftsbehandling för huvudsakligen kommersiella ändamål mycket begränsad. Såväl personuppgiftslagen som dataskyddsförordningen är allmänt hållna (även om dataskyddsförordningen ställer en del nya, specifika krav på de ansvariga). Det finns därför ett stort behov av kunskap om hur reglerna ska tillämpas i specifika situationer – såväl som efter då dataskyddsförordningen ska börja tillämpas. Utöver de regler som tar sikte främst på hur personuppgifter hanteras, finns det flera konsumentskyddande lagar såsom avtalsvillkorslagen och marknadsföringslagen som är av intresse i sammanhanget. Dessa regler kan användas för att stävja otillbörliga affärsmetoder i linje med EU:s konsumenträttsliga regelverk till skydd för konsumenten, som den generellt sett svagare parten i ett avtalsförhållande. Särskilt när personuppgifter hanteras för huvudsakligen kommersiella ändamål, exempelvis marknadsföring, och när möjligheten till nationell lagstiftning är mycket begränsad, framstår uppförandekoder som ett lämpligt instrument för att specificera hur dataskyddsförordningen ska tillämpas. Det bör noteras att det på flera områden finns fungerande uppförandekoder.