sou · H5B352 · 2017-06-07 00:00:00 — Det gäller t.ex. användning av dolda kroppsmikrofoner, handmanövrerade kameror, kopiering av mobiltelefoner och datorer och pejling. Även användningen av falska basstationer och installation av spionprogram är exempel på sådana spaningsmetoder. Vi anser därför att regeringen bör utreda en lagreglering av sådana integritetskänsliga spaningsmetoder som inte är reglerade eller har svag reglering (kapitel 11). Anslag till tvärvetenskaplig forskning om digitalisering och personlig integritet Vi har konstaterat att det finns förhållandevis lite forskning om vilken inverkan den digitala utvecklingen har på människan och hennes uppfattning om världen och om sig själv. Forskning om digitalisering och personlig integritet är ett område som förtjänar större uppmärksamhet; både för att höja kunskapsnivån men också för att bidra till att finna lösningar av tekniska och legala utmaningar. Vi föreslår därför att regeringen ger i uppdrag att fördela anslag till tvärvetenskaplig forskning om frågan på vilket sätt människan påverkas av förändringar i den privata sfären och av den accelererande digitala hanteringen av personuppgifter. Kompetenscenter för frågor som rör anskaffning och användning av externa it-tjänster. har uppmärksammat risker till följd av brister i myndigheternas kompetens när det gäller it-utveckling. Ett kompetenscenter skulle kunna bidra till att den offentliga förvaltningen blir bättre kravställare i upphandlingar, bland annat vad gäller kraven på inbyggd integritet och informationssäkerhet. Bättre och tydligare krav från det allmännas sida kan även påverka marknaden utanför offentlig sektor. Vi anser därför att regeringen bör uppdra åt den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering att inrätta ett kompetenscenter för frågor som rör anskaffning och användning av externa it-tjänster. Statskontoret bör få i uppdrag att utföra en myndighetsanalys av Datainspektionen Vi anser att tillsynen över de personuppgiftsansvariga och personuppgiftsbiträdena är mycket viktig. Genom tillsynen agerar staten för att skydda oss mot olaglig hantering av våra personuppgifter. Nya sätt att behandla våra uppgifter introduceras i en mycket snabb takt. Många av dessa finns det anledning att bedöma ur ett rättsligt perspektiv. Regelverket är tämligen oprecist och allmänt hållet. Det är därför ofta först när tillsynsmyndigheten har bedömt en ny företeelse som leverantörer och användare får någon ledning. Resultatet från tillsynen kan sedan användas i tillsynsmyndighetens utåtriktade och proaktiva arbete för att sprida kunskap. I delbetänkandet konstaterade vi dock att Datainspektionen successivt har minskat sina tillsynsaktiviteter. I delbetänkandet konstaterade kommittén att flera myndigheter efterlyser mer vägledning från tillsynsmyndigheten i samband med digitaliseringen av förvaltningen. Även i flera av remissvaren på vårt delbetänkande framförs önskemål om tydligare och mer konkret vägledning från Datainspektionen i frågor som rör integritetsskydd. Datainspektionen kommer på grund av dataskyddsförordningen att få många nya arbetsuppgifter och kommer även att behöva samverka mer både nationellt och internationellt. Detta som de personuppgiftsansvariga i och med den nya förordningen kommer att behöva mycket mer stöd och vägledning. na utveckling kommer Datainspektionen, på samma sätt som alla andra myndigheter, att behöva utveckla och förbättra sin verksamhet och sina arbetssätt. För att klargöra vilket anslag, vilka resurser och vilka kompetenser, som Datainspektionen behöver , anser att regeringen bör ge Statskontoret i uppdrag att utföra en myndighetsanalys av Datainspektionen enligt den modell som Statskontoret redovisade till regeringen i rapporten för myndighetsanalyser (2008:17). Den myndighet, som får det samlade ansvaret för den offentliga förvaltningens digitalisering, bör även främja skyddet av den personliga integriteten anser att det är av största betydelse att den myndighet som får det samlade ansvaret för digitaliseringen av offentlig sektor, även får i uppgift att beakta skyddet för den personliga integriteten. I instruktionen för den myndigheten bör det därför anges att denna myndighet ska främja skyddet av den personliga integriteten, med särskilt fokus på införandet av integritetsskyddande teknik och arbetssätt. Myndigheten måste förstås samverka med Datainspektionen i detta arbete. Konsekvenser av våra förslag Dataskyddsförordningen ska börja tillämpas i . Alternativet till våra genomgripande förslag om att arbeta med uppförandekoder, är således inte att myndigheter och företag avstår från att vidta åtgärder eller genomföra förändringsarbete, utan snarare att företag, myndigheter och andra organisationer tvingas lägga mer resurser på att tolka rättsläget. Vi menar att flera av våra förslag kommer att innebära minskade kostnader för både företag och myndigheter (såväl statliga som kommunala). Konsekvensanalysen finns i kapitel 17. Hela listan med bedömningar och förslag Skolan (kap. 5) 1.Regeringen bör ge i uppdrag att initiera och stödja utarbetandet av en uppförandekod för skolan. 2.Regeringen bör låta utreda ett utökat sekretesskydd för uppgifter om elever i skolans it-system. 3.Regeringen bör ge Skolinspektionen och Datainspektionen i uppdrag att hitta lämpliga samarbetsformer. Arbetslivet (kap. 6) 4.Regeringen bör ge i uppdrag att initiera och stödja utarbetandet av uppförandekoder inom arbetslivet. Hälso- och sjukvård och välfärdsteknik inom (kap. 7) 5.Regeringen bör ge en myndighet, förslagsvis E-hälsomyndighe- ten, i uppdrag att initiera och stödja utarbetandet av uppförandekoder inom hälso- och sjukvård och socialtjänst. 6.Regeringen bör ge en myndighet, förslagsvis E-hälsomyndighe- ten, i uppdrag att vara sekretariat för förvaltningen av de gemensamma uppförandekoderna. 7.Regeringen bör vidta de utredningsåtgärder som är nödvändiga för att genomföra de lagändringar, som tidigare utredningar föreslagit i syfte att stärka integriteten vid behandling av personuppgifter. 8.Regeringen bör låta utreda en ny lagstiftning om personuppgiftshantering inom . 9.Det behövs lagregler om ställföreträdare för beslutsoförmögna. 10.I instruktionen för den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering, bör anges att denna myndighet även ska främja skyddet av den personliga integriteten, och särskilt stödja lösningar som nyttjar integritetsskyddande arbetssätt och teknik. 11.Regeringen bör ge samma myndighet i uppdrag att inrätta ett kompetenscenter för frågor som rör anskaffning och användning av externa it-tjänster. 12.Regeringen bör låta utreda hur ett regelverk för tystnadsplikt för leverantörer av molntjänster och andra personuppgiftsbiträden skulle kunna utformas. 13.Integritetskommittén ställer sig bakom förslaget från Statens servicecenter att regeringen i närtid bör initiera ett uppdrag att närmare analysera förutsättningarna för att inrätta en ”statens molntjänst” i enlighet med rapporten från Statens servicecenter. 14.Regeringen bör låta utreda hur statliga och kommunala myndigheter arbetar med medborgarprofilering (även kallat ”smarta kontroller”), hur myndigheterna bör eller kan arbeta med sådana kontroller, samt föreslå de lagändringar som behövs. 15.Regeringens digitala strategier bör kompletteras med ett inriktningsmål med den uttryckliga ambitionen att ska bli världsledande både när det gäller att använda digitaliseringens möjligheter och att skydda den personliga integriteten. Konsumentområdet (kap. 9) 16.Regeringen bör ge i uppdrag till att initiera och stödja utarbetandet av uppförandekoder för branscher där personuppgifter hanteras för huvudsakligen kommersiella ändamål. 17.Regeringen bör ge i uppdrag till att utöva tillsyn över företeelser, produkter och avtal där integritetsskydd och informationssäkerhet gör sig gällande. Försäkringsverksamhet (kap. 10) 18.Konsumentverket bör bevaka försäkringsföretagens arbete med uppförandekoder. 19.Regeringen bör vidta de utredningsåtgärder som är nödvändiga för att genomföra en lagreglerad tystnadsplikt för försäkringsföretagen och deras anställda avseende personuppgifter. Åtgärder inom några andra områden med allvarliga eller påtagliga risker (kap. 11) 20.Regeringen bör låta utreda hur en säker ordning för utfärdande av fysiska legitimationer ska se ut och hur statens ansvar för den ska vara utformad. 21.Regeringen bör låta utreda en författningsreglerad rättighet för fysiska personer att vända sig till den som ger ut en kreditupplysningspublikation för att (inom ramen för vad som är förenligt med grundlagarna) få uppgifter om sig själv strukna innan uppgifterna publiceras. 22.Det är angeläget att regeringen lämnar förslag på reglering som ger integritetsskydd vid utlämnande av kreditupplysning, oavsett hur kreditupplysningen lämnas ut. Detta kan göras med utgångspunkt i förslag som redan föreligger. 23.Regeringen bör låta utreda en lagreglering av sådana integritetskänsliga spaningsmetoder inom polisen som inte är reglerade eller har svag reglering. Informationssäkerhet (kap. 12) 24.Regeringen bör vidta de utredningsåtgärder som är nödvändiga för att genomföra det förslag som lämnades i SOU 2015:23 om att MSB ska utöva tillsyn över statliga myndigheters informationssäkerhetsarbete. 25.Regeringen bör uppdra åt MSB att beträffande myndigheter under regeringen följa upp vilka åtgärder myndigheterna vidtar för att följa kraven i MSB:s föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2016:1). 26.De insatser för att åstadkomma uppförandekoder som kommittén föreslår i andra avsnitt i detta betänkande, bör innehålla informationssäkerhetsåtgärder som framträdande inslag. Om insatserna förverkligas, kan de innebära en generell förbättring av förutsättningarna för en bättre informationssäkerhet i samhället. 27.Regeringen bör ge MSB i uppdrag att i samverkan med andra myndigheter utveckla, förvalta och vidareutveckla en styrmodell för statens informationssäkerhet, i enlighet med det som föreslagits i SOU 2015:23. Samhällets skyddsmekanismer (kap. 13) 28.Regeringen bör låta utreda om Datainspektionen ska ges rätten att som part föra talan i domstol för enskilda i utvalda ersättningsärenden. 29.Datainspektionen bör ges i uppdrag att rapportera till regeringen om rättsmedlen är effektiva för att skydda registrerades rättigheter. 30.Regeringen bör följa upp att rekommendationer följs avseende kompetens och metod för utredning av itrelaterad brottslighet och sedan redovisa resultatet för . 31.Regeringen bör ge en myndighet i uppdrag att utreda hur en nationell folkbildningsinsats bör vara organiserad och utformad samt vilken omfattning och finansiering en sådan insats bör ha. (kap. 14) 32.Regeringen bör ge Statskontoret i uppdrag att utföra en myndighetsanalys av Datainspektionen enligt den modell som Statskontoret redovisade till regeringen i rapporten Modell för myndighetsanalyser (2008:17). Forskning om personlig integritet (kap. 15) 33.Regeringen bör ge i uppdrag att fördela ett särskilt forskningsanslag. 34.Regeringen bör ge i uppdrag att främja projekt som involverar integritetsskyddande teknik och arbetssätt samt att upplysa om och kravställa utifrån dataskyddsförordningen i sitt arbete. Utvärdering av grundlagsskyddet (kap. 16) 35.Regeringen bör i kommittéförordningen (1998:1474) införa en bestämmelse som föreskriver att om förslagen i ett betänkande har betydelse för den personliga integriteten i de fall som avses i2 kap. 6 § andra stycket regeringsformen, ska konsekvenserna idet avseendet anges i betänkandet. 36.Regeringen bör utvärdera, utveckla och vid behov uppdatera den av Datainspektionen utgivna vägledningen för integritetsanalys. We live our lives both online and in the physical world. When we are on the internet we leave traces behind. These traces can be used to make our everyday lives easier, but also to make money from us and to conduct various forms of tracking and monitoring. It is becoming increasingly difficult to maintain control of how data is collected and re-used. ’s general conclusion is that we, as private individuals, are being affected in a number of areas by a gradual deterioration of our privacy. The objective for our work in the Committee was to ensure that protection of privacy is strengthened so that this fundamental right is balanced with other fundamental rights and legitimate societal interests. Protection Regulation1 will begin to apply on 25 2018. Act will then cease to apply and a number of acts and other rules will have been adapted to the fact that we have directly applicable EU legislation instead. 1 Regulation (EU) 2016/679 of Parliament and of the Council of on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC To break the trend of a gradual deterioration of privacy, a concerted effort is needed in a number of areas. The timing of such a concerted effort is very apt right now in view of all of the areas of society that are currently putting a great deal of work into realising the intentions of the Regulation. Evaluation of constitutional protection The Privacy Committee considers that it is unsatisfactory that the provision in Chapter 2, Article 6, second paragraph of the Instrument of Government is applied in such different ways by inquiries and government agencies, and within the Government Offices. In our view, a more consistent understanding and application of the provision would benefit both privacy protection and eGovernment as it would be clearer which considerations a proposal raises. Legislative work would not risk losing momentum, as is currently the case, due to the fact that preparatory material needs to be supplemented relatively late in the legislative process – which is sometimes not even possible. A more consistent understanding and application of the provision would also save resources for the overall work involved in the legislative process. We consider that it is important that central government committees and inquiry chairs become better at drawing attention to and applying the constitutional requirement for legislative work, as stated in Chapter 2, Article 6, second paragraph of the Instrument of Government. We therefore propose that the Government introduce a provision in the Committees Ordinance stating that if a proposal has a bearing on privacy in the cases referred to in Chapter 2, Article 6, second paragraph of the Instrument of Government, the consequences in this regard must be described in the report. also considers that the Government should evaluate, develop and, where necessary, update the Protection Authority’s guidance for privacy analyses. As private individuals, we often have few possibilities to influence how data about us is processed and we have to rely on personal data controllers to protect our data. If data is spread without any control, distorted or destroyed, this can lead to violations of privacy. Shortcomings in information security therefore result in lesser protection for people’s privacy. We note that there are several different inquiries and initiatives under way in and at EU level aimed at improving information security in society. Protection Regulation will also set standards for controllers in terms of both technical and organisational information security measures. But we also present a few proposals in this area. Some of the protective measures that can be used, such as anonymisation, pseudonymisation and encryption, are difficult to introduce in certain sectors of society. There is therefore a need for coordination at national level, for example in terms of standards and norms. There is also a need to more closely integrate work to protect privacy with traditional information security work. also considers that there is a need for more and better supervision of government agencies’ information security. We therefore consider that the Government should look into an existing proposal stating that the should exercise supervision of information security in the state sector. proposals in this area are contained in chapter 12 on information security. A number of different inquiries and initiatives are under way in and at EU level aimed at improving privacy protection in our society. Several central government inquiries are working on adapting our legislation to the Protection Regulation. Protection Inquiry2 proposes a new national regulation that supplements the Protection Regulation at a general level. However, its work was not intended to broaden or restrict the possibilities of processing personal data, other than in cases where the Protection Regulation requires such a change.3 Inquiry4 will, in turn, analyse what regulation of personal data processing for research purposes is possible and may be needed in addition to the general regulations that the Data Protection Inquiry proposes as a result of the Regulation. The fact that the Protection Regulation will begin to apply in less than one year gives particular momentum to efforts to strengthen privacy protection. All controllers must work on adapting personal data processing to the new provisions. In addition, the Government Offices has been working on a national strategy for information and cyber security, which is based on the proposal presented in the report entitled ‘Information and cyber security in ’ (SOU 2015:23). The strategy will be presented in the summer of 2017. ’s proposals for measures Our main remit was to identify and analyse, from the individual’s perspective, the actual and potential risks of violations of privacy in connection with the use of information technology. We presented this investigation in our interim report entitled ‘What is the privacy situation?’ 5 We have considered it our remit to also present proposals for measures that can strengthen protection of privacy. In this final report, we therefore present a number of proposals for measures and assessments. The report presents the proposals on the basis of various areas of activity that process data about us as individuals. Some of the most important proposals are summarised below. 3Report entitled ‘Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning’ (SOU 2017:39) with a summary in English starting om page 29. 4ToR 2016:65 and ToR 2017:29. 5Interim report of : ‘What is the privacy situation?’ (SOU 2016:41). Associations and other bodies representing categories of controllers or processors can, in a certain industry or sector, present proposals for specifications on how to apply the Protection Regulation in that area in practice.6 These kinds of specifications are called ‘codes of conduct’ in the Protection Regulation. A code of conduct can also cover activities conducted by the public administration. Further, a code of conduct can be described as a kind of sector-specific self-regulation aimed at concretising the regulatory framework. We believe that codes of conduct can be an effective aid to increase the protection of privacy in several areas. Work to produce codes of conduct should be carried out by controllers’ or processors’ industry organisations, but under the Protection Regulation, the work to promote, scrutinise and approve codes of conduct is a job for government agencies. We propose, for example, that the Government task the with initiating and supporting the drafting of codes of conduct for industries in which personal data is processed mainly for commercial purposes. The Committee considers that the remit should primarily focus on specifying application of the Regulation in terms of consent or balancing of interests as a legal basis for the processing of personal data, and content and form for the information that will be provided to data subjects. In its work to initiate and support the drafting of codes of conduct, the Swedish Consumer Agency could host consultations with industry organisations and other responsible agencies on the conditions for a code of conduct in that area (chapter 9). We also propose that the for Education be tasked with initiating and supporting the drafting of a code of conduct for processing personal data in schools (chapter 5). With regard to the processing of personal data in health and care and social services, we also propose that a government agency be tasked with initiating and supporting the drafting of a code of conduct. To further support controllers in the sensitive work of personal data processing, we also propose that the agency 6 Regulation (EU) 2016/679 of Parliament and of the Council of on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC. given the remit should establish a secretariat to support controllers in the practical work of drafting the code (chapter 7). Clearer regulations in law In certain areas, the Committee has noted that important regulation is lacking on how personal data should be processed. This shortcoming puts controllers in a difficult position. They have responsibility for interpreting the general regulation in the best way possible, but despite their good intentions they risk making the wrong assessments, which of course ultimately also risks affecting individuals. In this area, we have not had the possibility to draft complete legislative proposals ourselves. We therefore propose further inquiries or preparation processes for previously presented legislative proposals in a number of areas, including the following: The Privacy Committee considers that a new regulation is needed for the personal data processing carried out in social services. Personal data processing within social services should be regulated in a separate act, as is the case with personal data processing in health and care. This act should be designed to take account of the legislative scope provided by the Protection Regulation. Complete and clear legislation in this area would improve the of the orderly introduction of welfare technology in social services. The Government should, on the basis of existing proposals, look into the possibility of passing new legislation that regulates the processing of personal data in social services and supplements and specifies the requirements of the Protection Regulation (chapter 7). New privacy-enhancing rules should be swiftly introduced in the Act The overall responsibility of care providers for the secure and appropriate processing of personal data in their activities should be more clearly and coherently expressed in the Act. We believe that the Act needs a chapter that brings together the provisions clarifying the responsibility of both care providers and health and care staff for the secure processing of personal data in their activities. Rules that increase the level of detail in the Act could make it easier for activities in which the regulatory framework is to be applied (chapter 7). Regulation of citizen profiling In its interim report, the Committee noted that there are serious risks for privacy in the kind of control activities conducted by agencies that are intended to assess in advance the probability of a certain individual committing some form of error. These kinds of controls are sometimes called ‘smart controls’ or ‘selection profiles’, and in the interim report we used the term ‘citizen profiling’.7 We consider there is a need to identify how both government agencies and local government authorities are using smart controls and to propose the legislative amendments needed to give this activity a clear and legal basis and governance that take account of the need for controls and individual privacy and the right not to be discriminated against. therefore considers that the Government should look into this issue more closely (chapter 8). Secrecy protection in schools