sou · H5B352 · 2017-06-07 00:00:00 — Personuppgiftsansvariga måste enligt dataskyddsförordningen ta ett ledningsansvar för personuppgiftshanteringen och kunna visa att hanteringen är laglig. Den nya möjligheten till kännbara sanktionsavgifter för de verksamheter som gör sig skyldiga till överträdelser av förordningen är därtill en kraftfull påtryckning. 10.4Åtgärd – reglerad tystnadsplikt förslag: Regeringen bör vidta de utredningsåtgärder som är nödvändiga för att genomföra en lagreglerad tystnadsplikt för försäkringsföretagen och deras anställda avseende personuppgifter. Försäkringsföretagen får i sin verksamhet ta del av ett mycket stort antal uppgifter rörande enskilda personers hälsotillstånd, familjeförhållanden och andra förhållanden av personlig natur. En del uppgifter är till sin karaktär ytterst integritetskänsliga. Modern informationsteknik gör det möjligt för försäkringsföretagen att hantera allt fler uppgifter. Inom den allmänna hälso- och sjukvården gäller sekretess till skydd för uppgift om enskilds hälsotillstånd och andra personliga förhållanden om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon honom närstående lider men. Motsvarande reglering gäller inom den privat drivna hälso- och sjukvården. Även hos gäller sekretess. När integritetskänsliga uppgifter lämnas ut till ett försäkringsbolag med den enskildes samtycke, har denne ett legitimt intresse av att uppgifterna inte ska komma till obehörigas kännedom. Till skillnad från vad som gäller inom hälso- och sjukvården och hos myndigheter som hanterar känsliga personuppgifter och till skillnad från vad som gäller inom bankverksamhet avseende kundernas förhållande till banken, så finns det alltså ingen lagreglerad tystnadsplikt som gäller hantering av personuppgifter inom försäkringsverksamheten. Frågan om lagreglerad tystnadsplikt i försäkringsverksamhet har dock beretts i lagstiftningssammanhang upprepade gånger, men utan att det resulterat i någon lagstiftning. lämnade ett förslag om en sådan reglering.2 Därefter har förslag lämnats även av Kommittén om genetisk integritet.3 Vid remissbehandlingen fick förslaget ett positivt bemötande eller lämnades utan erinran av remissinstanserna. I departementspromemorian Försäkringsbolags tillgång till patientjournalen4 anslöt sig utredningen till kommitténs förslag. Även i departementspromemorian Sekretess för finansiella företag lämnades ett förslag om tystnadsplikt.5 I propositionen Genetisk integritet m.m.6 lämnades ett förslag till om en generell tystnadsplikt för anställda i försäkringsbolag angående enskildas förhållanden. avslog dock propositionen i denna del på grund av att det saknades tillräckligt beredningsunderlag för att införa en generell sekretessbestämmelse för hela försäkringsområdet.7 Regeringen begränsade därför i en senare proposition förslaget om tystnadsplikt till att avse genetisk information som försäkringsbolag får tillgång till.8 I propositionen uttalade regeringen att en generell bestämmelse om sekretess på försäkringsområdet bör övervägas vid en samlad översyn av sekretesskyddet i finansiell verksamhet. godtog förslaget i denna utformning. En bestämmelse om tystnadsplikt när det gäller genetisk information finns numera i 4 kap. 16 § försäkringsrörelselagen (2010:2043). 2Försäkringsverksamhetskommitténs slutbetänkande Försäkringsväsendet (SOU 1987:58). 3Kommitténs om genetisk integritet betänkande Genetik, integritet och etik (SOU 2004:20). 6Regeringens proposition Genetisk integritet m.m., prop. 2005/06:SoU16. 8Regeringens proposition Sekretess i försäkringsföretag för uppgift om genetisk undersökning och genetisk information, prop. 2006/07:41. I lagstiftningsarbetet har argumenten för en lagreglering varit ungefär likalydande. Dessa argument från Försäkringsverksamhetskommittén9 brukar återges: Om lagstiftaren uttryckligen skulle slå fast en allmän sekretess inom det enskilda försäkringsväsendet, skulle detta klargöra för allmänheten och försäkringskunderna att försäkringsbolagen, liksom bankerna, har en tystnadsplikt. Förtroendet för det enskilda försäkringsväsendet skulle härigenom kunna stärkas och diskussioner om själva förekomsten och omfattningen av den s.k. oreglerade försäkringssekretessen skulle kunna upphöra. En lagfäst sekretess på försäkringsområdet skulle också kunna underlätta arbetet för tjänstemännen i bolagen inte bara genom att förtroendet för försäkringsväsendet skulle stärkas utan också genom att det skulle bli lättare att neka att besvara förfrågningar från obehöriga – enskilda eller myndigheter. Försäkringsbolagens verksamhet skulle också kunna underlättas genom att praxis beträffande försäkringsbolags rätt att utlämna uppgifter kan komma att bli klarare om försäkringssekretessen lagfästs, bl.a. genom ingripanden från försäkringsinspektionen i konkreta fall, genom uttalanden från inspektionens sida och genom en analog tilllämpning av banksekretessen. Om försäkringssekretessen skulle lagfästas, uppnås vidare större likformighet med sekretessförhållandena inom andra områden, där sekretessen redan är lagfäst. Ett lagfästande av försäkringssekretessen skulle slutligen medföra att sanktionerna för brott mot tystnadsplikten inte kom att enbart avse skadeståndsskyldighet. skulle nämligen om försäkringssekretessen var lagfäst, kunna ingripa i konkreta fall mot bolag som inte iakttar tystnadsplikten. Det blir därtill helt klarlagt att sanktioner för brott mot tystnadsplikten kan komma i fråga även om det begåtts av tjänstemän sedan de slutat sin anställning. Enligt uppgift till kommittén betraktar försäkringsföretagen inkomna uppgifter som strängt konfidentiella och iakttar utan direkt stöd av lag en strikt tystnadsplikt. Det finns också branschrekommendationer om hur personuppgifter ska hanteras. I departementspromemorian10 konstateras att det, trots att några allmänna missförhållanden inte torde föreligga, råder stor enighet om att tystnadsplikten inom det enskilda försäkringsväsendet bör författningsregleras. Vidare anförs att det från hälso- och sjukvårdens sida har framhållits vikten av att det införs bestämmelser om tystnadsplikt på försäkringsområdet bland annat för att upprätthålla all- 9SOU 1987:58 s. 381 10Ds 2005:13 s. 187 mänhetens samt hälso- och sjukvårdspersonalens förtroende för försäkringsbolagen. Även försäkringsbranschen är positiv till detta. Kommittén anser att det är av största vikt att det inte råder någon tvekan om att skyddet för uppgifter om enskildas hälsotillstånd och andra personliga förhållanden kvarstår när de har lämnats till ett försäkringsbolag. Ett klargörande i lag av att försäkringsbolagen har tystnadsplikt skulle enligt vår uppfattning bidra till att såväl hälso- och sjukvårdspersonalens som en bredare allmänhets förtroende för det enskilda försäkringsväsendet stärks. Kommittén är medveten om att tystnadsplikt för försäkringsföretag och anställda i viss utsträckning också måste kombineras med reglerade undantag, som innebär en skyldighet för företagen att lämna myndigheter vissa begärda uppgifter. Tystnadsplikten kan brytas för viktiga informations- och kontrollbehov för samhället. Exempelvis behöver det finnas undantag från tystnadsplikten i förhållande till . En sekretessbestämmelse behöver också anpassas till vanliga situationer inom försäkringsverksamheten i sig. Vi tänker här exempelvis på reglering av skador inom hemförsäkring och motorfordonsförsäkring. Utlämnande med samtycke från den försäkrade bör förstås också vara möjligt. Försäkringsföretagen måste dessutom ha möjlighet att utreda och anmäla misstänkta försäkringsbedrägerier. Vi gör samma bedömning angående behovet av en tystnadspliktbestämmelse som omfattar personuppgifter i försäkringsverksamheten som framförts av tidigare utredningar och regeringsförslag. Vi vill särskilt framhålla den betydelse en lagfäst sekretessbestämmelse har för allmänhetens förtroende för försäkringsföretagen. Kommittén anser därför att regeringen med utgångspunkt från befintliga utredningar bör vidta de utredningsåtgärder som är nödvändiga för att genomföra en författningsreglerad tystnadsplikt för försäkringsföretagen och deras anställda. 11Åtgärder inom några andra områden med allvarliga eller påtagliga risker 11.1Några andra riskområden som behandlades i kommitténs delbetänkande I delbetänkandet analyserade riskerna för den personliga integriteten även inom områdena bank- och kreditmarknad (kapitel 15), kronofogdemyndighetens verksamhet, kreditupplysning och inkasso (kapitel 16) samt de brottsbekämpande myndigheternas verksamhet (kapitel 18). förslag: Regeringen bör låta utreda hur en säker ordning för utfärdande av fysiska legitimationer ska se ut och hur statens ansvar för den ska vara utformad. Användning av kreditkort och andra digitala transaktioner I delbetänkandet bedömde kommittén att det finns allvarliga risker för den personliga integriteten förknippade med användning av kreditkort och andra digitala transaktioner. Brottslighet i form av identitetsstölder och bedrägerier är exempel på risker inom området. Ett sätt att minska riskerna för denna typ av brottslighet är att göra processen för att utfärda och att kontrollera id-handlingar säkrare. Säkra e-legitimationer är också en förutsättning för att utveckla Åtgärder inom några andra områden med allvarliga eller påtagliga risker e-förvaltningen och för att e-handeln ska fungera. E-legitimatio- nernas tillförlitlighet är därför ett viktigt samhällsintresse. Det finns ett flertal aktörer som utfärdar fysiska legitimationer. Myndigheter som Transportstyrelsen, och Polisen utfärdar enligt av de fysiska legitimationer som bankerna accepterar. har i sitt remissvar1 över kommitténs delbetänkande anfört att e-legitimationer till skillnad mot fysiska legitimationer möjliggör kontroller i realtid av legitimationens giltighet. Detta menar är en klar säkerhetsfördel med e-legitimat- ioner jämfört med fysiska legitimationer. Utmaningar för bankerna med att utfärda e-legitimationer (BankID) består i att säkra steget från en fysisk legitimation till en e-legitimation. Utgångspunkten för en e-legitimation är alltid att det finns en fysisk legitimation. Det är svårt att avgöra om den fysiska legitimationen som presenteras är äkta eller falsk, eftersom förfalskningar ofta är skickligt gjorda och kontrollmöjligheterna av fysiska legitimationer är begränsade. För att skapa en tillförlitlig process för identifiering och utfärdande av legitimationer i anser att det bör införas en gemensam nationell utfärdandeprocess. anser att det är en uppgift för staten att fastställa en persons identitet och utfärda en fysisk legitimation baserad på sådan information. Även har identifierat detta problem. I en rapport2 rekommenderar nämnden att regeringen ska ge en myndighet i uppdrag att tillhandahålla en sådan grundidentifiering av fysiska personer som i vissa fall behöver genomföras med hjälp av personliga besök eller motsvarande i samband med nyutfärdande av svenska e-legitimationer. En sådan myndighet behöver ha mycket god kompetens att kontrollera personers identitet och ha lokal representation i varje län. Nämnden motiverar denna rekommendation med att det är kostsamt och svårt för e-legitimationsutfärdare att sköta den initiala grundidentifiering av användaren som i vissa fall behöver göras genom personligt besök i samband med nyanskaffning av en e-legitimation. Detta riskerar att göra det dyrt för myndigheter eller för medborgare. är detta en central komponent för att 1Remissyttrande från , 2016/08/006. 2Fortsatt försörjning av tjänster för e–legitimering och e-underskrift, , dnr 131 645711–15/9513. Åtgärder inom några andra områden med allvarliga eller påtagliga risker bygga tillit för e-legitimationerna. Nämnden ser därför att staten behöver utöka sitt ansvar i samband med identifiering av personer som ansöker om svenska id-handlingar. Syftet är dels att underlätta vid nyutgivning av innovativa och säkra e-legitimationer, dels att motverka id-kapningar och annat missbruk. anser vidare att det vid nyutfärdande av fullvärdiga fysiska legitimationer är nödvändigt att lagra biometri i de fysiska id-handling- arna så att det kan användas vid id-kortskontroller. För att få full säkerhet krävs att individens biometri jämförs med tidigare utfärdade handlingar för samma identitet. Endast fullvärdiga svenska fysiska id-handlingar som innehåller biometri bör ligga till grund för e-legi- timationer på den högsta svenska tillitsnivån. Kommittén delar och bedömningar. Det är en viktig integritetsfråga att det finns ett gott skydd för enskildas identiteter. Staten bör därför ta ett ansvar för att få till stånd en säker ordning för utfärdande och kontroll av fysiska legitimationer. Vi anser att regeringen bör låta utreda frågan om hur en säker nationell process av utfärdande av fysiska legitimationer ska se ut och hur staten kan ta ansvar för den. Utredningen bör omfatta frågan om detta ska vara en myndighetsuppgift. Frågan om e-legitimationer och hur en infrastruktur ska se ut utreddes också av Utredningen om bildande av en e-legitimations- nämnd.3 har så sent som lämnat förslag på lösningar vad gäller bland annat frågan om fysisk identifiering. De utredningsinsatser som kan bli aktuella för i den här frågan bör därför kunna bli mindre omfattande. 3Utredningens om bildande av en e-legitimationsnämnd betänkande E-legitimationsnämn- den och Svensk e-legitimation (SOU 2010:104). 4Fortsatt försörjning av tjänster för e–legitimering och e-underskrift, , dnr 131 645711–15/9513. Åtgärder inom några andra områden med allvarliga eller påtagliga risker behandlade riskerna vid kreditupplysningsföretagens verksamhet i delbetänkandets5 kapitel 16 om verksamhet, kreditupplysning och inkasso. bedömning: Det är angeläget att regeringen lämnar förslag på reglering som ger integritetsskydd vid utlämnande av kreditupplysning, oavsett hur kreditupplysningen lämnas ut. Detta kan göras med utgångspunkt i förslag som redan föreligger. förslag: Regeringen bör låta utreda möjligheten till en författningsreglerad rättighet för fysiska personer att vända sig till den som ger ut en kreditupplysningspublikation för att få uppgifter om sig själv strukna innan uppgifterna publiceras. Flera av de integritetsskyddande reglerna i kreditupplysningslagen (1973:1173) gäller inte för utlämnande av kredituppgifter med hjälp av tekniska upptagningar. Förutsättningen för undantagen är att informationen lämnas ut på en teknisk upptagning som omfattas av bestämmelserna om utgivna tekniska upptagningar i 1 kap. 10 § yttrandefrihetsgrundlagen. Ett utlämnande på ett usb-minne kan under vissa förutsättningar räknas som en sådan utgiven teknisk upptagning. De skyddande bestämmelserna som då inte ska gälla är exempelvis bestämmelserna om legitimt behov, lämnande av kreditupplysningskopia och skyldigheten att sända en rättelse eller komplettering till var och en som har mottagit en upplysning med en oriktig eller missvisande uppgift eller en uppgift som har behandlats i strid mot lagen. Mot bakgrund av att skyddsreglerna inte fungerar på det sätt som lagstiftaren egentligen avsett, bedömer kommittén i delbetänkandet att det föreligger allvarliga risker för den personliga integriteten i 5 SOU 2016:41, s. 437 och 446 ff. Åtgärder inom några andra områden med allvarliga eller påtagliga risker Vi noterar dock att denna fråga har utretts6 och bereds i . I en promemoria föreslås att samtliga former av utlämnanden av kreditupplysningar på sätt som avses i yttrandefrihetsgrundlagen bör omfattas av kreditupplysningslagens skyddsregler med krav på legitimt behov, kreditupplysningskopia och rättelse. Kommittén bedömer att det är angeläget att regeringens beredning leder till en reglering som ger ett gott integritetsskydd oavsett hur kreditupplysningen lämnas ut. Det är också viktigt att en sådan reglering fortsatt bidrar till en effektivt fungerande kreditupplysningsverksamhet. Ytterligare lagstiftningsåtgärder – den enskildes rätt att bli struken lämnar ut offentliga uppgifter från beskattningsdatabasen i elektronisk form till kreditupplysningsföretag. Uppgifter i beskattningsdatabasen får lämnas ut på medium för automatiserad behandling till den som har tillstånd att bedriva kreditupplysningsverksamhet eller som bedriver kreditupplysningsverksamhet som är undantagen från tillståndsplikt. har i ett yttrande över departementspromemorian Ett starkare stöd för den enskildes integritet vid kreditupplysning7 och i ett yttrande över departementspromemorian Ett teknikoberoende skydd för den enskildes integritet vid kreditupplysning8 föreslagit ett utökat integritetsskydd vid kreditupplysningar i form av en rätt för den enskilde att begära att uppgifter som lämnats ut inte publiceras. vidhåller i sitt remissyttrande9 över kommitténs delbetänkande detta förslag om strykningsrätt när det gäller offentliggörande på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. förslag innebär en författningsreglerad rättighet för fysiska personer att vända sig till den som ger ut en kreditupplysningspublikation för att få uppgifter om sig själv strukna innan upp- 6Ds 2008:34, Ds 2013:27. 9Skatteverkets dnr 131 321192–16/112. Åtgärder inom några andra områden med allvarliga eller påtagliga risker En sådan rätt skulle ge den enskilde en möjlighet att hindra att ekonomiska uppgifter om denne sprids fritt i samhället. Kommittén anser att förslag skulle öka den enskildes inflytande över spridningen av sina personuppgifter. Vi anser därför att regeringen bör låta utreda detta och ta fram ett förslag inom ramen för det som är förenligt med tryckfrihetsförordningen och yttrandefrihetsgrundlagen. 11.1.3De brottsbekämpande myndigheternas verksamhet förslag: Regeringen bör låta utreda en lagreglering av sådana integritetskänsliga spaningsmetoder som inte är reglerade eller har svag reglering. Polismetoder med svag eller obefintlig reglering När det gäller de brottsbekämpande myndigheternas verksamhet gjorde kommittén i delbetänkandet bland annat bedömningen att det finns påtagliga risker för den personliga integriteten när det gäller vissa integritetskänsliga spaningsmetoder. Det gäller exempelvis användning av dolda kroppsmikrofoner, handmanövrerade kameror, kopiering av mobiltelefoner och datorer och pejling. Även användningen av falska basstationer och installation av spionprogram är exempel på sådana spaningsmetoder. har även Integritetsskyddskommittén10 tagit upp dessa risker. konstaterade att polisen för att kunna fullgöra sina uppgifter är beroende av spaningsmetoder som innebär någon form av avlyssning eller övervakning och som görs i hemlighet. Vissa metoder förutsätter att tekniska hjälpmedel används, såsom handmanövrerad kamera, dold kroppsmikrofon, inspelningsapparatur och pejlingsutrustning. Även om lagenligheten av en del av dessa metoder har ifrågasatts från olika håll, menade att bedömningen inte kan göras att polisen bör avstå från att i nuvarande omfattning 10 delbetänkande Skyddet för den personliga integriteten (SOU 2007:22), del 1, s. 472. Åtgärder inom några andra områden med allvarliga eller påtagliga risker använda de aktuella metoderna på grund av att de alltför mycket inkräktar på den personliga integriteten. Däremot var det enligt önskvärt att integritetskänsliga spaningsmetoder blir föremål för reglering. Polismetodutredningen11 föreslog en sådan reglering. Utredningen föreslog bland annat att spaningsmetoder som behöver lagregleras ska tas in i en ny lag om särskilda inhämtningsåtgärder i de brottsbekämpande myndigheternas verksamhet (inhämtningslagen). Lagen skulle bland annat innehålla bestämmelser om när polisen får använda dolda kroppsmikrofoner, handmanövrerade kameror och s.k. pejling. I den delen syftade förslaget till att stärka den personliga integriteten och innebar bland annat att upptagning med sådan utrustning endast skulle få förekomma dels i förundersökning om åtgärden kan antas vara av särskild betydelse för utredning av brott för vilket är föreskrivet fängelse eller däröver, dels i underrättelseverksamhet om det finns särskild anledning att anta att åtgärden kan bidra till att förebygga, förhindra eller upptäcka brott av angivet slag. Utredningens förslag har i denna del inte lett till någon lagstiftning. Utredningen om 2016 års dataskyddsdirektiv12 har i uppdrag att utreda hur EU:s direktiv om skydd av personuppgifter vid brottsbekämpning, brottmålshantering och straffverkställighet ska genomföras i svensk rätt. Utredningen har i delbetänkandet Brottsdatalag13 föreslagit en ramlag med generella regler för personuppgiftsbehandling inom direktivets område. Kommittén delar bedömning att det oreglerade tillstånd som råder, medför betydande risker för att det lokalt eller på individnivå beslutas om spaningsmetoder som inte tillräckligt beaktar integritetsskyddsintresset. Det är först genom en reglering som det blir möjligt att generellt dra rågången mellan tilllåtna och icke tillåtna metoder samt att ta ställning till andra frågor av betydelse för integritetsskyddet, som till exempel vem som ska ha 11Polismetodutredningens betänkande, Särskilda spaningsmetoder (SOU 2010:103). 13Utredningens om 2016 års dataskyddsdirektiv delbetänkande Brottsdatalag (SOU 2017:29). Åtgärder inom några andra områden med allvarliga eller påtagliga risker behörighet att besluta om teknisk spaning och vilka kompensatoriska skyddsåtgärder som behövs. Vi anser därför att regeringen bör låta utreda en lagreglering av integritetskänsliga spaningsmetoder med svag eller obefintlig reglering. I delbetänkandet konstaterade att det finns starka indikationer på väsentliga brister i informationssäkerheten hos offentliga organisationer, t.ex. i organisationer med mycket omfattande personuppgiftsbehandlingar som i kommunerna. Beträffande e-förvaltningen bedömde kommittén att dessa brister måste sägas medföra en allvarlig risk för den personliga integriteten. Vi konstaterade också att bristerna i informationssäkerheten medför ett sämre skydd för den personliga integriteten. Med tanke på att ett antal av de skyddsåtgärder som rekommenderas av bland annat och , som exempelvis anonymisering, pseudonymisering och kryptering, är svåra att införa inom vissa samhällssektorer, finns det ett behov av samordning på nationell nivå, till exempel när det gäller standarder och normer. Det finns även ett behov av att i högre grad integrera arbetet med att skydda den personliga integriteten med det traditionella informationssäkerhetsarbetet. Det pågår en rad olika utredningar och satsningar i och på EU-nivå som syftar till att förbättra informationssäkerheten i samhället. Bland dessa kan följande särskilt noteras. antog och rådet det s.k. NIS- direktivet.1 Direktivet fastställer åtgärder för att uppnå en hög 1 och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. gemensam nivå på säkerhet i nätverk och informationssystem inom unionen, i syfte att förbättra den inre marknadens funktion. Direktivet innebär bland annat skyldigheter för vissa leverantörer av samhällsviktiga tjänster och vissa leverantörer av digitala tjänster att vidta säkerhetsåtgärder för att hantera risker samt förebygga och hantera incidenter i nätverk och informationssystem som de är beroende av för att tillhandahålla tjänsterna. Leverantörerna ska också rapportera incidenter som har en betydande respektive avsevärd inverkan på kontinuiteten i tjänsten. lämnade Utredningen om genomförande av NIS-direktivet betänkandet Informationssäkerhet för samhällsviktiga och digitala tjänster2 som innehåller förslag till hur nämnda direktiv ska genomföras i svensk rätt. I arbetar man med att ta fram en nationell strategi för informations- och cybersäkerhet, som tar sin utgångspunkt i det förslag som lades fram i betänkandet Informations- och cybersäkerhet i Sverige.3 Planen är att strategin ska presenteras .