sou · H5B352 · 2017-06-07 00:00:00 — Dessa benämns ibland ”branschöverenskommelser” (jfr 15 § personuppgiftsförordningen). I kapitlet om uppförandekoder ger vi exempel på svenska och utländska uppförandekoder. Koder som existerar , bör självfallet beaktas och användas som utgångspunkter i det arbete som föreslås i detta kapitel. 1 I sammanhanget kan noteras att presenterade ett förslag till ny förordning om respekt för privatlivet och skydd av personuppgifter i elektronisk kommunikation (förordning om integritet och elektronisk kommunikation). För vilka branscher behövs det uppförandekoder? När personuppgifter hanteras för huvudsakligen kommersiella ändamål, görs det av en mängd olika aktörer. De frågor som då uppkommer avseende skyddet för den personliga integriteten, varierar beroende på vilken aktör och vilken bransch det rör sig om. Bland de branscher som kommittén har identifierat och där det kommer att behövas närmare vägledning för tillämpningen, finns följande: web intelligence, och tillverkare och försäljare av uppkopplade saker (Internet of things, IoT), inte minst inom bilindustrin avseende all data som hanteras vid framförandet av moderna bilar. På grund av de många olika aktörer som finns och de frågor som aktualiseras på området, kommer det med all sannolikhet att behövas flera uppförandekoder om koderna på ett konkret sätt ska kunna ge anvisningar och lösningar på problem som uppstår inom olika sektorer. Exempelvis finns beträffande uppkopplade saker (IoT) särskilda problem som rör information och samtycke och som bland annat har att göra med att användarna ofta behöver registrera sig i en app för att kunna få full nytta av produkten. Vidare saknar många uppkopplade saker (exempelvis badrumsvågar) egna, lämpliga gränssnitt för hantering av samtycken (som tangentbord eller skärm). Det uppstår också delvis olika frågor beroende på om det rör sig om aktiviteter på nätet såsom e-handel (då en viktig fråga är hur kakor ska hanteras) eller aktiviteter i fysiska butiker (där exempelvis kameraövervakning eller wifi-tracking kan ge upphov till integritetsrelaterade frågor). Frågor som kan tas upp i uppförandekoder Med beaktande av såväl de risker som kommittén har bedömt föreligger inom de aktuella områdena, som de skyldigheter som kommer att åligga företagen enligt dataskyddsförordningen, kan uppförandekoder för företag och andra organsationer innehålla närmare anvisningar för tillämpningen av bland annat följande frågor: Hur företagen ska gå till väga för att uppfylla kravet i artikel 30 i dataskyddsförordningen på register över vilka behandlingar av personuppgifter som företaget har ansvar för. Lämpligtvis innefattar koden även en metod och mallar (med exempel) för praktisk inventering och dokumentation av vilka uppgifter om enskilda personer som hanteras och hur uppgifterna används (både av företaget och av dess leverantörer). Hur företagen, i situationer som typiskt sett uppstår inom respektive områden, ska bedöma sina berättigade intressen i förhållande den registrerades intressen eller grundläggande rättigheter och friheter. Det kan exempelvis anges att en intresseavvägning normalt medför att det är tillåtet att behandla personuppgifter för att upprätta listor över telefonnummer för telefonförsäljning samt att skicka ut direktreklam via branschregister. Hur konsekvensbedömningar avseende dataskydd (artikel 35 i dataskyddsförordningen) ska genomföras före införandet av varje nytt system eller arbetssätt samt inför större ändringar i befintliga system eller arbetssätt. Här bör koden tydliggöra vilka nya lösningar eller ändringar som typiskt sett omfattas av kravet på en konsekvensbedömning. Hur inbyggt dataskydd och dataskydd som standard (artikel 25 i dataskyddsförordningen) ska införas, med angivande av exempel. I vilka situationer pseudonymisering behöver genomföras, med angivande av exempel på olika tillvägagångssätt för pseudonymiseringen. Hur den enskildes rätt till dataportabilitet ska tillgodoses och realiseras på ett sätt som underlättar för den enskilde. Det bör då anges standarder för olika områden, exempelvis för webbmejl respektive för appar med funktioner för överföring av text, bild, video och ljud. I vilka situationer som behandlingen kan bygga på samtycke från de enskilda personerna. Det bör exempelvis anges att tystnad, på förhand ikryssade rutor eller inaktivitet inte ska utgöra ett giltigt samtycke. Vidare kan anges att samtycke inte ska betraktas som frivilligt om den enskilde inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke.2 En härmed sammanhängande fråga är när det rör sig om samtycke från minderåriga, då samtycket även eller i stället kan behöva inhämtas från vårdnadshavare. Koden bör även innehålla förslag på lämpliga sätt att inhämta samtycke. Exempel på rutiner och riktlinjer för hur skyddade personuppgifter ska hanteras. Exempelvis bör anges att det klart och tydligt måste framgå att personuppgifter är skyddade, till exempel genom flaggning, och att det inte ska råda någon som helst oklarhet om att det är uppgifter som särskilt behöver skyddas.3 Hur och när uppgifter ska gallras. Uppgifter om inloggningar bör exempelvis kunna gallras eller avidentifieras tämligen omgående, medan uppgifter som är relevanta för avtal mellan den enskilde och företaget kan behöva sparas . Exempel på informationssäkerhetsåtgärder som ett företag behöver vidta för att uppfylla kraven i artikel 32 i dataskyddsförordningen (avseende exempelvis behörighetsstyrning, åtkomstkontroll, säkerhet vid åtkomst över internet osv). Exempelvis kan anges att – när utrustning ansluts till internet eller annat öppet nät – bör anslutningen skyddas för att förhindra obehörig trafik. Om uppgifterna endast får lämnas ut till identifierade användare bör mottagarens identitet säkerställas. Mottagarens identitet kan säkerställas genom e-legitimation, engångslösenord, aktiva behörighetskort eller motsvarande.4 För uppkopplade produkter (IoT) behöver klargöras vem i leverantörs- eller återförsäljarleden som ansvarar för att tillräckliga informationssäkerhetsåtgärder vidtas. 2Se skäl 42 i dataskyddsförordningen. 3Jfr Datainspektionens Checklista för skolor – Skyddade personuppgifter i skolan (). 4Datainspektionens allmänna råd Säkerhet för personuppgifter (). Exemplen som nämns i detta avsnitt angående tekniska lösningar för att säkerställa mottagarens identitet, ska ses just som exempel på vilken detaljeringsgrad uppförandekoderna bör befinna sig på. Vilken information som måste ges till de enskilda, och i förekommande fall till deras vårdnadshavare, om hur uppgifter används, med angivande av exempel. Här bör exempelvis anges hur information kan ges med hjälp av standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över hur uppgifterna hanteras och av vem.5 Informationens innehåll och form bör anges särskilt när det gäller förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt dataskyddsförordningens artiklar 22.1 och 22.4, och hur det i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade (exempelvis information om algoritmer).6 När och hur kameraövervakning eller wifi-tracking inomhus får användas exempelvis inne i butikslokaler. Det finns ett flertal olika bransch- och intresseorgansationer inom området, som skulle kunna medverka i utarbetandet av uppförandekoder. Bland andra finns SWEDMA (en bransch- och intresseorganisationen för företag och organisationer som arbetar med direkt och datadriven marknadsföring), IAB (en intresseorganisation för företag inom digital marknadskommunikation med över 200 medlemsföretag), Svensk handel (en arbetsgivarorganisation som driver handelns frågor för parti- och detaljhandeln), Elektronikbranschen (en branschorganisation för leverantörer och handlare inom konsumentelektronik, foto och service), Svensk Elektronik (en branschorganisation för tillverkare, utvecklare och leverantörer inom elektronik), IT & Telekomföretagen (en medlemsorganisation för företag inom it- och telekomsektorn). För konsumenternas intressen, finns Konsumenter som är en samarbetsorganisation med 22 medlemsorganisationer. 5Se skäl 60 i dataskyddsförordningen. 6Jfr artiklarna 13–15 i dataskyddsförordningen. Vem ska uppmuntra utarbetandet av uppförandekoder? Skyldigheten att uppmuntra utarbetandet av uppförandekoder enligt artikel 40 i dataskyddsförordningen gäller inte bara Datainspektionen. Staten både kan och bör även agera genom andra myndigheter. När det gäller konsumentområdet är det främst som är aktuellt. har också erfarenhet av liknande arbete eftersom verket har ingått överenskommelser med olika branscher i syfte ta fram och precisera villkor. Överenskommelserna betraktas ofta som god sed på marknaden. Ordet ”uppmuntra” används i dataskyddsförordningen, och ska enligt kommitténs tolkning i detta sammanhang närmast förstås som att initiera och stödja. arbetar med vissa av de frågor som skulle behöva tas upp i uppförandekoder på konsumentområdet. Exempelvis har erfarenhet av att granska frågor om vilken information konsumenterna ges om datahanteringen, hur samtycke inhämtas och vad som egentligen omfattas av användarvillkor och andra avtal mellan företag och konsumenter. noterar att dessa frågor hör till de viktigaste och svåraste för att stärka integritetsskyddet på konsumentområdet. Även i en rapport som publicerat, rekommenderar författarna att ska verka för framtagande av sådana uppförandekoder som förutsätts i dataskyddsförordningen med särskilt fokus på hantering av konsumenters personuppgifter.7 Regeringen bör därför ge i uppdrag att i samråd med Datainspektionen vidta åtgärder för att initiera och stödja utarbetandet av uppförandekoder för de branscher där personuppgifter hanteras för huvudsakligen kommersiella ändamål. bedömer att uppdraget i första hand ska inriktas mot att specificera tillämpningen rörande samtycke respektive intresseavvägning som laglig grund för behandlingen av personuppgifter, samt innehåll och form för den information som ska ges till de registrerade. I arbetet med att initiera och stödja framtagandet av uppförandekoder, kan exempelvis bjuda in branschorganisa- 7 2017:4, Personuppgifter som betalningsmedel, författad av och . tionerna och andra ansvariga myndigheter för ett samtal om förutsättningarna för en uppförandekod på området, där även alternativen till en uppförandekod kan tas upp. Om det inte finns en uppförandekod, måste företagen utan närmare tolkningshjälp tillämpa dataskyddsförordningen eller annan, allmänt hållen ramlagstiftning. Det skulle kunna innebära en ökad risk för administrativa sanktionsavgifter enligt artikel 83 i dataskyddsförordningen. Inom vissa områden kommer det sannolikt vara enklare att få till stånd uppförandekoder, exempelvis för direktmarknadsföring, där det redan finns en branschöverenskommelse och en etablerad branschorganisation. Koder inom andra områden kommer att kräva mer förarbete, som exempelvis när det gäller uppkopplade saker (IoT) där det inte framstår som lika enkelt att identifiera och avgränsa relevanta personuppgiftsansvariga. Det bör vidare noteras att standarder utgör ett viktigt instrument som stöd för tillverkare och leverantörer av väl utformade produkter och tjänster. Det gäller även integritetsfrågorna. Mot den bakgrunden bör uppförandekoder, när det är möjligt, referera till vedertagna standarder på integritetsområdet. Vidare bör marknadskontrollerande myndigheter följa och delta i standarder som bidrar till regelutvecklandet för den personliga integriteten. Big data kännetecknas bland annat av att uppgifter används för nya ändamål, inte sällan okända även för den personuppgiftsansvarige för insamlandet. Som vi konstaterade i delbetänkandet innebär big data en rad olika utmaningar för integritetsskyddet. En- ligt kommitténs uppfattning innebär utmaningarna dock inte att big data är oförenligt med datskyddsförordningens bestämmelser, varken i teorin eller i praktiken. Förhållandet har på ett träffande sätt utryckts i följande ord av chefen för ’s Office: It is not a case of big data ‘or’ data protection, or big data ‘versus’ data protection. That would be the wrong conversation. Privacy is not an end in itself, it is an enabling right. Embedding privacy and data protection into big data analytics enables not only societal benefits such as dignity, personality and community, but also organisational benefits like creativity, innovation and trust.8 Eftersom big data innebär att personuppgifter överförs mellan olika medlemsstater i EU eller till länder utanför EU, skulle lösningar på utmaningarna tjäna på att hanteras i ett större sammanhang, än endast på nationell nivå i . förslag: Regeringen bör ge i uppdrag att, i samråd med Datainspektionen, utöva tillsyn över företeelser, produkter och avtal där integritetsskydd och informationssäkerhet gör sig gällande. I delbetänkandet konstaterade kommittén att har uppgett sig ha vissa svårigheter med tillsynen i den digitala miljön. Problemen rör bland annat digital och individanpassad marknadsföring på exempelvis sociala medier, som baseras på en mer eller mindre ingående profilering. Företeelsen har endast i begränsad omfattning varit föremål för tillsyn. Likaså har inte användarvillkoren för sociala medier ännu granskats av . Även i en rapport som publicerat, rekommenderar författarna att ska utveckla metoder för tillsyn som möjliggör insyn i funktion och verkan av individualiserade och datadrivna applikationer för bl.a. marknadsföring.9 Det innebär enligt kommitténs uppfattning att det saknas en effektiv tillsyn som har förutsättningar att säkerställa en god efterlevnad av de regler som ska skydda konsumentens personliga integritet. Det gäller både beträffande dataskyddsbestämmelser och konsumentskyddsreglerna (såsom avtalsvillkorslagen eller marknadsföringslagen). Kommittén anser att regeringen bör verka för en bättre efterlevnad av de konsumentskyddsregler som medverkar till att skydda kon- 8Big data, artificial intelligence, learning and data protection, Information Commissioner’s Office (20170301, Version: 2.0). 9Konsumentverkets rapport 2017:4, Personuppgifter som betalningsmedel, författad av sumenters personliga integritet, och för en ökad tillsyn av området. Mot den bakgrunden föreslår vi att regeringen ger i uppdrag att intensifiera sin tillsyn till skydd för konsumentens personliga integritet. I detta arbete bör samråda med Datainspektionen. I delbetänkandet konstaterade att en stor del av försäkringsbolagens verksamhet numera hanteras med hjälp av informationsteknik. Den ökade mängden information som finns tillgänglig om enskilda personer ger försäkringsföretagen möjlighet att få bättre underlag för riskbedömning, skadebedömning och för utredning av oklara försäkringsfall. Företeelsen att med hjälp av sensorer mäta rörelse och aktivitet i bilar och hos personer ger möjlighet att göra riskbedömningen säkrare och mer individanpassad. 10.2Risker som uppmärksammats i delbetänkandet I delbetänkandet konstaterade vi alltså att det finns nya integritetsrisker , på grund av att det är möjligt att genom olika former av digitala egenmätningar lämna underlag för beräkning av försäkringspremier, exempelvis för fordonsförsäkring och personförsäkring. Uppgifterna måste hanteras säkert i varje led för att det inte ska uppstå risker för obehörig spridning. Det innebär också ett stort ansvar för bolagen att inte hantera mer känsliga uppgifter än nödvändigt, eftersom tekniken i sig innefattar stora möjligheter till kartläggning av enskilda individers rörelsemönster och livsstil m.m. Vi konstaterade också att det uppkommer nya risker för att tredjepartsintressenter vill ta del av information om enskilda. Det kan röra sig om uppgifter om hälsa som blir tillgängliga när det exempelvis blir möjligt för patienter att läsa sin patientjournal via internet eller genom att information samlas på olika hälsokonton. Försäkringsföretag kan komma att vilja ta del av uppgifter om kundernas hälsa digitalt genom någon form av app knuten till ett hälsokonto, i stället för att få utskrifter ur patientjournalen. förutsätter höga krav på säkerhet vid överföring av uppgifterna och ställer andra krav på den enskilde när det gäller insikter om vad överföringen av uppgifterna kan få för konsekvenser. Detta ställer i sin tur krav på företagen när det gäller ansvar för hanteringen och för information till kunderna. De risker som hör samman med användning av molntjänster uppstår också i samband med att personuppgifter kommer att behandlas av de företag som erbjuder app-tjänsterna. Den stora mängden uppgifter som finns hos försäkringsföretagen representerar ett betydande ekonomiskt värde och skulle kunna samköras med annan information. Det kan därför finnas en risk för handel med uppgifterna. Försäkringsföretagen omfattas inte av någon lagreglerad tystnadsplikt. Mot denna bakgrund bedömer kommittén i delbetänkandet att det finns påtagliga risker för den personliga integriteten i samband med försäkringsföretagens verksamhet. Vi anför i delbetänkandet att det finns särskild anledning att följa försäkringsbranschens framtida inriktning. Förutom den tekniska utvecklingen i stort ser vi en utveckling där helt nya informationskällor uppstår, ibland som en följd av potentiella försäkringstagares egna åtgärder. Den här informationen är av stort intresse för försäkringsbolagen, som den kan vara av mycket känslig natur för den enskilde. Vi ser en risk att den här utvecklingen ytterligare rubbar balansen mellan den enskilde försäkringstagaren och dennes försäkringsgivare. Med tanke på den stora potentiella ökningen av nya informationskällor med känslig information och den tekniska utvecklingen i stort, bedömer kommittén i delbetänkandet att den framtida hanteringen av personuppgifter inom försäkringsverksamheten kan innefatta allvarliga risker för den personliga integriteten. 10.3Åtgärd – branschen tar fram uppförandekoder bedömning: Kommittén utgår från att försäkringsföretagen kommer att anpassa sina branschrekommendationer till dataskyddsförordningen. Kommittén utgår också från att företagen i egenskap av personuppgiftsansvariga kommer att ha intresse av att omvandla dessa till uppförandekoder i förordningens mening. bör följa försäkringsföretagens arbete med detta och bedöma om det finns behov av stöd från myndigheten. En uppförandekod i dataskyddsförordningens mening är en möjlighet för sammanslutningar, som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden inom en viss bransch eller sektor, att komma överens om hur man i praktiken ska tillämpa förordningen. Läs mer om uppförandekoder i kapitel 4. Medlemsstaterna och tillsynsmyndigheten ska enligt förordningen uppmuntra utarbetandet av uppförandekoder. Koderna ska bidra till att förordningen genomförs korrekt. Uppförandekoderna syftar till att underlätta för ansvariga och biträden så att de får stöd i hur de ska göra för att följa förordningen i praktiken. Det är branschföreträdarna som ska ta fram utkast till en uppförandekod inom sitt område. Utkastet till kod ska sedan granskas och godkännas av tillsynsmyndigheten. Uppförandekoden ska hjälpa till att specificera hur dataskyddsförordningen ska tillämpas. Svensk Försäkring är försäkringsföretagens branschorganisation. Organisationen utfärdar bland annat gemensamma branschrekommendationer som gäller alla medlemsföretag. Det finns exempelvis följande rekommendationer som har med hantering av personuppgifter att göra: Arkivering och information inom personförsäkring God sed för försäkring på internet Rekommendation om behandling av personuppgifter inom försäkringsföretagens utredningsverksamhet Rekommendation om behandling av personuppgifter om hälsa inom försäkringsbranschen Rekommendation beträffande försäkringsbolagens hantering av genetisk information Rekommendation angående försäkringsbolagens bruk av fullmakter. Branschen arbetar alltså redan med självreglerande uppförandekoder. Vi bedömer att sådana koder underlättar en korrekt tillämpning av lagstiftningen och därmed också för skyddet av de personuppgifter som hanteras. Nya möjligheter till informationsinhämtning för försäkringsföretagen, genom exempelvis mobila appar, och informationsöverföring, från exempelvis elektroniska journaler och hälsokonton, aktualiserar nya integritetsrisker. Det ställer därför också hårdare krav på företagen vad gäller ansvar, information till kunderna, rutiner och säkerhet. Dataskyddsförordningen ställer i sin tur tydligare krav på ansvarstagande över hanteringen av personuppgifter. Förordningen erbjuder personuppgiftsansvariga och personuppgiftsbiträden att använda uppförandekoder som ett sätt att arbeta aktivt med tillämpningsfrågor och som ett sätt att kunna visa sitt ansvarstagande. Att ansluta sig till en kod är ett sätt för en personuppgiftsansvarig att visa att den följer förordningen. Enligt artikel 40 dataskyddsförordningen ska medlemsstaterna och tillsynsmyndigheterna uppmuntra utarbetandet av uppförandekoder som är avsedda att bidra till att förordningen genomförs korrekt. En myndighet kan initiera och stödja utarbetandet av koder genom att bjuda in branschorganisationerna och andra ansvariga myndigheter för samtal om förutsättningarna för uppförandekoder inom området. Förordningen förutsätter dock att det är branschen själv som genom sina företrädare utarbetar uppförandekoderna. har enligt sin instruktion bland annat ansvar för att de konsumentskyddande regler som ligger inom myndighetens tillsynsansvar följs och för att stärka konsumenternas ställning på marknaden genom kontakter med privata aktörer och i det arbetet genomföra branschöverenskommelser och insatser på standardiseringsområdet. har alltså ett uttalat ansvar för att genomföra branschöverenskommelser. Mot den bakgrunden anser kommittén att bör bevaka om försäkringsföretagen anpassar och utvecklar branschöverenskommelserna till uppförande- koder i dataskyddsförordningens mening samt överväga behovet att uppmuntra branschen att inleda ett sådant arbete. Det ingår i Datainspektionens uppdrag enligt dataskyddsförordningen att granska och godkänna de uppförandekoder som försäkringsföretagen tar fram. Exempel på frågor som kan tas upp i en uppförandekod för försäkringsföretag Med utgångspunkt i dels de risker som vi har bedömt föreligger inom försäkringsområdet, dels de skyldigheter som kommer att gälla enligt dataskyddsförordningen, kan uppförandekoder inom denna bransch bland annat behandla följande tillämpningsfrågor. Hur ett försäkringsföretag ska gå till väga för att uppfylla kravet i dataskyddsförordningens artikel 30 på register över vilka behandlingar av personuppgifter som görs i företaget. Konsekvensbedömningar avseende dataskydd (artikel 35 i dataskyddsförordningen) som ska genomföras före införandet av varje nytt system eller större ändring i befintliga system. Hur skyddade personuppgifter ska hanteras. Hur och när uppgifter ska gallras. Vilken information som måste ges till kunderna om hur uppgifter används. Koden kan också beskriva hur information kan ges med hjälp av standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över hur uppgifterna hanteras och av vem.1 Även mallar eller exempel på hur tillämpningen ska gå till i praktiken, kan ingå i uppförandekoden. 1 Se skäl 60 i dataskyddsförordningen. Andra åtgärder än uppförandekoder som dataskyddsförordningen erbjuder Alla personuppgiftsansvariga bör nu vara i full gång med arbetet att se över sin personuppgiftshantering så att den kan uppfylla de krav som ställs i dataskyddsförordningen. Denna översyn pågår med all sannolikhet också hos försäkringsföretagen. Det innebär en möjlighet för denna bransch ta ett nytt och starkt grepp om dataskyddet.