sou · H5B352 · 2017-06-07 00:00:00 — Increasing amounts of increasingly detailed data about pupils in schools is being generated – everything from how they use teaching aids and chat forums with their classmates to which friends they prefer to be seen with in school. For pupils in compulsory school and upper secondary school there is no secrecy or duty of confidentiality 7 In the interim report, we use citizen profiling as the umbrella term for these phenomena. for the majority of this growing mass of data. We consider that the Government should investigate the issue of expanding secrecy protection to cover data about pupils contained in school IT systems (chapter 5). Regulation in law of certain surveillance methods Regarding the activities of the law enforcement agencies, we consider that there are tangible risks for privacy concerning surveillance methods that are sensitive in terms of privacy. This applies to the use of concealed body microphones, hand-held cameras, copying of mobile phones and computers, and tracking devices, for example. The use of fake base stations and the installation of spy programmes are also examples of such surveillance methods. We therefore consider that the Government should look into a legislative regulation of such surveillance methods that are sensitive in terms of privacy and that are currently not regulated or that are subject to weak regulation (chapter 11). Grants for interdisciplinary research on digitalisation and privacy We have noted that there is relatively research on the effect of digital developments on people’s behaviour and their view of the world and themselves. Research into digitalisation and privacy is an area that deserves greater attention, both to increase the level of knowledge and to help find solutions to technical and legal challenges. We therefore propose that the Government task the with distributing grants for interdisciplinary research into the issue of how people and their behaviour are affected by the accelerated digital processing of their data and private spheres. for issues concerning the acquisition and use of external IT services has drawn attention to the risks associated with shortcomings in agencies’ expertise in the area of IT development. A centre of excellence could help public administration become better at setting requirements in procurements, including the requirement for built-in privacy and information security. Better and clearer requirements from the public sector could also have an impact on the market outside the public sector. We therefore consider that the Government should task the agency given overall responsibility for the digitalisation of public administration with establishing a centre of excellence for issues concerning the acquisition and use of external IT services. for should be tasked with conducting an agency analysis of the Protection Authority We consider that the supervision of controllers is very important. Through supervision, the State takes action to protect us against the unlawful processing of our personal data. New ways of processing our data are being introduced at a very rapid pace. There is cause to assess many of these from a legal perspective. The regulatory framework is rather imprecise and kept intentionally vague. It is therefore often the case that suppliers and users do not receive any guidance until the supervisory agency has assessed a new phenomenon. The results of this supervision can then be used in the supervisory agency’s outreach and proactive work to disseminate knowledge. However, in the interim report we noted that the Protection Authority has gradually reduced its supervisory activities in recent years. In its interim report, the Committee noted that a number of agencies have requested more guidance from the supervisory agency in connection with eGovernment. In several consultation responses to our interim report, the for clearer and more concrete guidance from the Protection Authority is also presented concerning privacy protection issues. With the new Protection Regulation, the Protection Authority will receive many new tasks and will also need to cooperate more both nationally and internationally. And at the same time, with the new Regulation, society will need much more support and guidance. Parallel to this development, the Protection Authority will – like all other government agencies – need to develop and improve its activities and its working methods. To clarify which appropriations, which resources and which skills the Protection Authority will need over the coming years, we consider that the Government should task the for with conducting an agency analysis of the Protection Authority in line with the model it presented to the Government in in the report entitled ‘Model for agency analyses’ (2008:17). The agency given overall responsibility for the digitalisation of public administration should also promote protection of privacy believes that it is extremely important that the agency given the overall responsibility for the digitalisation of public administration, is also tasked with safeguarding protection of privacy. The instructions for the agency should therefore state that this agency is to promote protection of privacy, with a special focus on the introduction of privacy enhancing working methods and technologies. Naturally, the agency must work with the Protection Authority on these tasks. Consequences of our proposals Protection Regulation will be implemented in . The alternative to the our far-reaching proposals on working with codes of conduct is therefore not for agencies and companies to refrain from taking measures or implementing change; instead, companies, agencies and other organisations would be forced to invest more resources in interpreting the legal situation. We believe that a number of our proposals will entail reduced costs for both companies and agencies (both at central government and local level). The impact assessment is in chapter 17. Full list of ’s proposals (chapter 5) 1.The Government should instruct the for Education to take measures to initiate and support the drafting of a code of conduct for schools. 2.The Government should appoint an inquiry into expanded secrecy protection for data about pupils in school IT systems. 3.The Government should task the Swedish Schools Inspectorate and the Protection Authority with finding suitable forms of cooperation. Working life (chapter 6) 4.The Government should task the Swedish Work Environment Authority with initiating and supporting the drafting of codes of conduct in working life. Health and care and welfare technology in social services (chapter 7) 5.The Government should task an agency, possibly the Swedish eHealth Agency, with initiating and supporting the drafting of codes of conduct in health and care and social services. 6.The Government should task an agency, possibly the Swedish eHealth Agency, with acting as a secretariat for the management of the common codes of conduct. 7.The Government should implement legislative amendments aimed at strengthening privacy, as previous inquiries have proposed. 8.The Government should introduce new legislation on personal data processing in social services. 9.The Government should introduce a legal regulation on representatives for people who lack decision-making capacity. eGovernment (chapter 8) 10.The instructions for the agency given overall responsibility for the digitalisation of public administration should state that this agency must also promote protection of privacy and, in doing so, give particular support to solutions that use privacy enhancing working methods and technologies. 11.The Government should task the same agency with establishing a centre of excellence for issues concerning the acquisition and use of external IT services. 12.The Government should look into the duty of confidentiality for suppliers of cloud services and other personal data processors. 13.The Privacy Committee supports the proposal from the that the Government should, in the near future, initiate a remit to closely analyse the conditions for establishing a ‘state cloud service’ in line with the report from the . 14.The Government should look into how government agencies and local government authorities are working on citizen profiling (also known as ‘smart controls’) and how government agencies should or can work with these controls, and propose the legislative amendments needed. 15.The Government’s digital strategy should be supplemented with an indicative objective with the express ambition that should become a world leader in terms of both using the opportunities offered by digitalisation and protecting privacy. Consumers (chapter 9) 16.The Government should task the with initiating and supporting the drafting of codes of conduct for industries in which personal data is processed mainly for commercial purposes. 17.The Government should task the with exercising supervision of developments, products and agreements in which privacy protection and information security apply. Insurance activities (chapter 10) 18.The Swedish Consumer Agency should monitor insurance companies’ work on industry recommendations. 19.The Government should introduce a legal regulation on the duty of confidentiality in insurance activities. Some other risk areas dealt with in the Committee’s interim report (chapter 11) 20.The Government should look into how a secure system for issuing physical identification documents should be designed and what the state’s responsibility for such a system should be. 21.The Government should look into a statutory right for natural persons to contact a person who is publishing a credit report publication to have data about themselves removed before it is published. 22.It is essential that the Government submits proposals for regulations that provide privacy protection when credit reports are made public, regardless of how they are made public. This can be done on the basis of proposals already submitted. 23.The Government should look into a legislative regulation of such surveillance methods used by the that are sensitive in terms of privacy and that are currently not regulated or that are subject to weak regulation. Information security (chapter 12) 24.The Government should investigate the proposal presented in SOU 2015:23 that the should exercise supervision of government agencies’ information security work in the way proposed in SOU 2015:23. 25.Regarding relevant agencies under the Government, the Government should instruct the to monitor which measures government agencies are taking to comply with the ’s regulations on government agencies’ information security (MSBFS 2016:1). 26.The measures to achieve codes of conduct proposed by the Committee in other chapters of this report should include information security activities as prominent elements. If the activities are implemented, this may lead to a general improvement of the conditions for better information security in society. 27.The Government should instruct the to work with other agencies to devise, administer and further develop a governance model for state information security, in line with the proposals in SOU 2015:23. Society’s protection mechanisms (chapter 13) 28.The Government should look into whether the Protection Authority should be given the right to bring a court action in selected compensation matters on behalf of a private individual. 29.The Government should task Protection Authority with submitting annual reports to the Government on whether legal remedies are effective for protecting the rights of data subjects. 30.The Government should monitor compliance with the recommendations of the Swedish National Audit Office concerning skills and methods for investigating IT-related crime and then report the results to the Riksdag. 31.The Government should task an agency with looking into how a national education initiative should be organised and designed, and what scope and financing such an initiative should have. Supervisory authority (chapter 14) 32.The Government should task the for with conducting an agency analysis of the Protection Authority in line with the model it presented to the Government in in the report entitled ‘Model for agency analyses’ (2008:17). Research into privacy (chapter 15) 33.The Government should task special research appropriation to be allocated by the . 34.The Government should task (’s innovation agency) to promote projects that involve privacy enhancing technologies and working practices, to inform about the data protection regulation and to take account of the regulation when considering calls for proposals. Evaluation of constitutional protection (chapter 16) 35.The Government should introduce a provision in the Committees Ordinance (1998:1474) stating that if the proposals in a report have a bearing on privacy in the cases referred to in Chapter 2, Article 6, second paragraph of the Instrument of Government, the consequences in this regard must be described in the report. 36.The Government should evaluate, develop and, if necessary, update the guidance document for privacy analysis issued by the Protection Authority. förordning om ändring i kommittéförordningen (1998:1474) Härigenom föreskrivs i fråga om kommittéförordningen (1998:1474) att 15 § ska ha följande lydelse. Om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen, skall konsekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män, eller för möjligheterna att nå de integrationspolitiska målen. Om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen, skall konsekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män, för möjligheterna att nå de integrationspolitiska målen eller för den personliga integriteten i de fall som avses i 2 kap. 6 § andra stycket regeringsformen. Denna förordning träder i kraft . uppdrag och arbete m.m. 2Integritetskommitténs utgångspunkter, uppdrag och arbete Kommitténs tre primära uppdrag har varit att utifrån ett individperspektiv, kartlägga och analysera faktiska och potentiella risker för intrång i den personliga integriteten i samband med användning av informationsteknik, bedöma behovet av att inrätta ett s.k. integritetsskyddsråd, vars syfte skulle vara att höja kvaliteten i lagstiftningsprocessen, när det gäller lagförslag som påverkar den personliga integriteten, och följa upp effekterna i lagstiftningsarbetet av den förstärkning av grundlagsskyddet, som genomfördes . De två förstnämnda uppdragen har presenterats i delbetänkandet,1 medan analysen av grundlagsförstärkningen behandlas i detta slutbetänkande. Här fullföljer kommittén även sin analys av faktiska och potentiella risker genom att med utgångspunkt från den genomförda kartläggningen framföra förslag till åtgärder, redovisa konsekvenserna av dessa samt ange förslag till finansiering. 1 Hur står det till med den personliga integriteten? (SOU 2016:41). utgångspunkter, uppdrag och arbete redovisade i delbetänkandet2 sin bedömning av den samlade effekten av den kartläggning och övervakning som en enskild person blir föremål för i dagens digitaliserade samhälle. Kommitténs generella slutsats är att den enskilde på ett flertal områden drabbas av stegvisa försämringar av den personliga integriteten. Den enskildes kunskaper om hur dennes personuppgifter hanteras och enskildas möjligheter att påverka hur och vem som använder dem, försämras kontinuerligt. Det beror bland annat på att tilllämpningen av de grundläggande skyddsbestämmelserna om information, samtycke, angivande av ändamål och gallring försvagats i takt med den digitala expansionen. Det centrala problemet här är således inte avsaknaden av ett regelverk, utan snarare bristen på efterlevnad. Den här bristen har vi kunnat konstatera inom samtliga samhällsområden, såväl inom myndigheter, kommuner och landsting som hos kommersiella aktörer. Ett regelverk med normer som inte följs eller är svåra att följa skadar respekten för regelverket; både hos dem som ska tillämpa reglerna och de som ska skyddas av dem. Vissa personuppgiftsansvariga kanske inte ens ser det som meningsfullt att följa reglerna, eftersom allmänheten, eller åtminstone en tillräckligt stor andel, inte tydligt ställer det kravet. Till detta ska läggas att den som begår överträdelser löper en förhållandevis liten risk för att upptäckas och drabbas av sanktioner. 2.3Målet med kommitténs arbete 2.3.1Den enskildes ställning behöver stärkas Kommittén har formulerat följande övergripande mål för sitt arbete: Skyddet av den personliga integriteten ska stärkas så att denna grundläggande rättighet är i balans med andra grundläggande rättigheter och legitima samhällsintressen. 2 SOU 2016:41, s. 49 ff. utgångspunkter, uppdrag och arbete Vi tror att ett stärkande av den enskildes ställning gentemot den personuppgiftsansvarige är av grundläggande betydelse för att vända utvecklingen. Den enskildes möjlighet till kunskap om att dennes personuppgifter används och förståelse för hur de används behöver därför förbättras. Först då kan en enskild användare ta reell ställning till de erbjudanden som ges och få ett rimligt inflytande över behandlingen av personuppgifter. Med ökad kunskap följer också en ökad förmåga att ställa krav på dem som tillhandahåller digitala tjänster, vilket i sin tur bör leda till att dessa aktörer drivs att erbjuda ett fullgott integritetsskydd av kommersiella skäl. Integritetsskydd och tillit till den erbjudna produkten blir då ett konkurrensmedel. Kommittén anser därför att särskilda insatser för att höja den allmänna kunskapsnivån bör genomföras. För att nå upp till kommitténs ambitiösa mål att bryta den i delbetänkandet beskrivna utvecklingen behövs en kraftsamling inom en rad områden. Med tanke på att dataskyddsförordningen ska börja tillämpas , är tidpunkten för en sådan kraftsamling just nu mycket lämplig. Ett förverkligande av intentionerna bakom den nya förordningen förutsätter betydande insatser inom samtliga samhällsområden. De förslag som kommittén i det följande lägger fram utgår från den riskbedömning som gjordes i delbetänkandet med ett särskilt fokus på de områden och företeelser, där vi funnit allvarliga eller påtagliga risker för den personliga integriteten. Vi har också prioriterat grupper som är särskilt utsatta eller skyddsvärda. Kommitténs uppdrag täcker ett mycket vidsträckt område. Det har därför inte varit möjligt att med den tid, som avsatts för det här uppdraget, utarbeta fullständiga förslag till åtgärder. I flera fall förutsätter därför våra förslag ytterligare utredning innan de kan realiseras. Det pågår ett stort antal utredningar, som har beröringspunkter med den här utredningen. Vi avstår självfallet från att lägga förslag, som skulle kunna kollidera med dessa utredningars utgångspunkter, uppdrag och arbete Ett exempel på detta är den pågående Forskningsdatautredningen.3 I den tidigare kartläggningen konstaterade kommittén att många av de påtalade problemen är av det slaget att de inte kan lösas av en enskild stat. Samverkan på internationell nivå och utarbetande av gemensamma normer och synsätt är därför mycket viktigt. Förslagen i det här betänkandet tar dock främst sikte på åtgärder, som kan vidtas inom landet. Som redan nämnts är regelefterlevnad ett återkommande problem. Det handlar inte bara om okunskap och en ovilja att följa regelverket utan också om att bestämmelserna i många avseenden är medvetet oprecisa och allmänt formulerade och därmed svåra att tillämpa. Här anger dataskyddsförordningen nya arbetssätt såsom upprättande av uppförandekoder, vilket är ett slag av branschvis självreglering i syfte att konkretisera regelverket. Vi tror att uppförandekoder kan bli ett effektivt hjälpmedel för att höja skyddet av den personliga integriteten inom flera områden. 2.4Verksamheter som vi anser är särskilt viktiga att åtgärda Inom stat och kommun hanteras stora mängder personuppgifter, ofta av känslig natur. Den enskilde har i allmänhet inget inflytande över myndigheternas hantering. Det vilar därför ett särskilt ansvar på myndigheterna att se till att uppgifter bara hanteras när det är nödvändigt och att se till att hanteringen är så säker som möjligt. Regeringen har uttalat mycket höga ambitioner när det gäller utvecklingen och digitaliseringen av den offentliga sektorn. Kommittén ser ett starkt behov av att regeringen uttalar lika höga ambitioner när det gäller den tekniska säkerheten och skyddet av personuppgifter inom det här området samt att tillräckliga resurser avsätts för att möjliggöra detta. 3 U 2016:04, dir. 2016:65. Utredaren ska bl.a. lämna förslag på sådana lämpliga skyddsåtgärder för den registrerades fri- och rättigheter som behandling av personuppgifter för forskningsändamål ska omfattas av. utgångspunkter, uppdrag och arbete Kommittén har konstaterat att den enskilde utsätts för allvarliga risker för den personliga integriteten i sin egenskap av konsument och användare av sociala medier. I allt väsentligt är det personuppgiftslagen och dataskyddsförordningen som reglerar personuppgiftsbehandlingen inom det här området. Även om förordningen ställer en del specifika krav på de ansvariga, är många bestämmelser allmänt hållna. Vi tror därför att proaktiva insatser för att få till stånd uppförandekoder inom det här området är särskilt angeläget. Kommittén har konstaterat att det finns starka indikationer på väsentliga brister i informationssäkerheten över hela den offentliga sektorn. Förhållandena på den privata sektorn är svårare att uttala sig om på ett generellt plan, bl.a. beroende på bristen på granskningar inom det området. Det pågår en hel del utredningar och andra aktiviteter inom det här området för att förbättra situationen. Kommittén bedömer att en god informationssäkerhet är av avgörande betydelse för att skyddet för den personliga integriteten ska kunna stärkas. Den kommande dataskyddsförordningen kan bli ett effektivt medel för att stärka skyddet av den personliga integriteten, men det ligger förvisso ingen automatik i detta. För att höja efterlevnaden och medvetenheten i hela samhället av de gällande principerna om information, samtycke, berättigat ändamål och gallring krävs bland annat en aktiv tillsyn. När man dessutom ska etablera de delvis nya reglerna om ansvarighet, konsekvensbedömningar, förhandssamråd, rapportering av personuppgiftsincidenter, inbyggd integritet, uppförandekoder m.m. krävs en aktiv och närvarande tillsynsmyndighet med betydligt större resurser än den har . utgångspunkter, uppdrag och arbete 2.4.5Forskning om digitalisering och integritet Kommittén konstaterade i delbetänkandet att det är förhållandevis lite forskning som har bedrivits om vilken inverkan den digitala utvecklingen har på människan och hennes uppfattning om världen och om sig själv. Kommittén noterade också att forskningen är tämligen strikt uppdelad, för att inte säga separerad i tre vetenskapliga fält, nämligen teknik, juridik och samhällsvetenskap. Forskning om digitalisering och personlig integritet är ett område som förtjänar större uppmärksamhet; både för att höja kunskapsnivån men också för att bidra till att finna lösningar av tekniska och legala utmaningar.