sou · H5B352 · 2017-06-07 00:00:00 — Varje tillsynsmyndighets ledamot eller ledamöter ska också i utförandet av sina uppgifter och utövandet av sina befogenheter i enlighet med förordningen stå fria från utomstående påverkan, direkt såväl som indirekt, och får varken begära eller ta emot instruktioner av någon. Vidare åligger det enligt dataskyddsförordningen varje medlemsstat att säkerställa att varje tillsynsmyndighet förfogar över de personella, tekniska och finansiella resurser samt de lokaler och den infrastruktur som behövs för att myndigheten ska kunna utföra sina uppgifter och utöva sina befogenheter, även inom ramen för det ömse- sidiga biståndet, samarbetet och deltagandet i den europeiska dataskyddsstyrelsens verksamhet.2 Frågan om vad dessa krav innebär för del, berörs av Ut- redningen om tillsynen över den personliga integriteten.3 I dess betänkande anförs bland annat följande. Den svenska förvaltningsmodellen innebär starka och till största delen grundlagsfästa garantier för oberoende i beslutsfattandet för förvaltningsmyndigheter under regeringen. De kommande EU-rättsakternas krav på tillsynsmyndighetens oberoende uppfylls enligt vår mening utan tvekan med den svenska ordningen. Det kan tilläggas att redan det nu gällande dataskyddsdirektivet ställer krav på att tillsynsmyndigheterna ska vara fullständigt oberoende.4 När det emellertid kommer till innehållet i förordningen (2007:975) med instruktion för Datainspektionen, sägs i betänkandet följande. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna och Datainspektionen ska därför direkt på grundval av förordningen ha de uppgifter som följer av denna reglering. Det saknas därför behov av att härutöver reglera dessa uppgifter i myndighetsinstruktionen. Vi ser heller inte något behov av att av andra skäl föreslå några kompletterande bestämmelser i instruktionen om Datainspektionens uppgifter. Härtill torde förordningens tydliga krav på tillsynsmyndigheternas oberoende göra att utrymmet för regeringen att styra Datainspektionen genom regleringar i myndighetsinstruktionen generellt är begränsat.5 Vi anser att det även efter i viss utsträckning kommer att vara möjligt för regeringen att i regeringsuppdrag, regleringsbrev eller myndighetens instruktion ge uppdrag till Datainspektionen. Frågan om sådana uppdrag är förenliga med dataskyddsförordningens krav på självständighet får bedömas från fall till fall. En generell förutsättning för att det ska vara möjligt att ge sådana uppdrag, är att Datainspektionen tillförs tillräckliga medel för uppdragets utförande. Att myndigheten får särskilda anslag för att utföra ett visst uppdrag, innebär att uppdragets utförande inte minskar myndighetens möjligheter och resurser för att på ett självständigt sätt utföra sina övriga arbetsuppgifter enligt dataskyddsförordningen. 2Artikel 52 i dataskyddsförordningen. 3Utredningens om tillsynen över den personliga integriteten betänkande, Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65). 4Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65) sid. 146. 5Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65) sid. 160. Regeringens uppdrag får naturligtvis inte heller komma i konflikt med 12 kap. 2 § regeringsformen som slår fast att ingen myndighet, inte heller eller en kommuns beslutande organ, får bestämma hur en förvaltningsmyndighet i ett särskilt fall ska besluta i ett ärende som rör myndighetsutövning mot en enskild eller mot en kommun eller som rör tillämpningen av lag. Bestämmelserna i dataskyddsförordningen om tillsynsmyndighetens oberoende bör ses i ljuset av förhållandena i vissa andra medlemsstater, där förvaltningen är en del av regeringens kansli och där den ansvariga ministern kan utöva ett direkt bestämmande över myndigheterna. Det är mot ovanstående, samlade bakgrund som i delbetänkandet har ansett sig kunna föreslå att regeringen genom en ändring i Datainspektionens instruktion ska reglera vilka frågor som myndigheten särskilt ska återrapportera till regeringen. Förslaget innefattar även en anslagsökning som beräknas motsvara den ökade arbetsinsats som vårt förslag skulle innebära. Datainspektionens oberoende ställning innebär att det därutöver står myndigheten fritt att i sin rapportering till regeringen även beskriva andra aspekter av sin verksamhet eller andra företeelser och händelser i omvärlden, även inkluderande exempelvis regeringens agerande i olika ärenden. Här kan jämföras med hur regeringen genom förordningen (2000:605) om årsredovisning och budgetunderlag, som även riktar sig till Datainspektionen, bestämmer vilket innehåll som årsredovisningen ska ha, samt när och till vem den ska lämnas. För det fall att regeringen ändå inte skulle anse sig ha möjlighet att i enlighet med kommitténs förslag styra Datainspektionen genom myndighetens instruktion, har regeringen fortsatt möjlighet att styra myndigheten i regleringsbrev eller särskilda regeringsuppdrag – under tidigare nämnda förutsättningar. För det fall att regeringen skulle anse att även detta styrsätt är oförenligt med dataskyddsförordningen, kvarstår för regeringen endast möjligheten att genom överläggningar, överenskommelser och delvis villkorade anslag, stimulera myndigheten att företa vissa åtgärder, utöver det myndigheten redan gör med finansiering genom sitt grundanslag. Ett sådant arbetssätt kan jämföras med hur regeringen förhåller sig till exempelvis organisationen och landsting (SKL) i vissa frågor, där regeringen kan ingå över- enskommelser med SKL om att SKL ska utföra viss verksamhet som regeringen sedan helt eller delvis finansierar. 14.2.2Analysera Datainspektionens arbetssätt och behov av anslag förslag: Regeringen bör ge Statskontoret i uppdrag att utföra en myndighetsanalys av Datainspektionen enligt den modell som Statskontoret redovisade till regeringen i rapporten för myndighetsanalyser (2008:17). Kommittén delar Datainspektionens oro för att myndighetens beviljade anslag inte kommer att räcka till för att på ett tillfredsställande sätt fullgöra alla myndighetens skyldigheter enligt dataskyddsförordningen. Datainspektionen kommer att få många nya arbetsuppgifter, den kommer att behöva samverka mer både nationellt och internationellt, som samhället i och med dataskyddsförordningen kommer att behöva mycket mer stöd och vägledning. Parallellt med denna utveckling kommer Datainspektionen, på samma sätt som alla andra myndigheter, att behöva utveckla och förbättra sin verksamhet och sina arbetssätt. Vidare har det sannolikt inte sedan Datainspektionen bildades genomförts någon riktigt grundläggande analys av myndighetens samlade resursbehov i förhållande till sitt uppdrag. En ytlig jämförelse av olika tillsynsmyndigheters bemanning visar på stora skillnader. Exempelvis har cirka 170 anställda, 530, 260, Skolinspektionen 400, 90, 20 och Datainspektionen cirka 50 anställda. Det är, enligt uppgift, cirka 30 fler än då Datainspektionen startade . har myndighetens arbetsfält genomgått enorma förändringar . Vi anser sammanfattningsvis att det är mycket svårt att enbart på grundval av Datainspektionens årsredovisning och kompletterande budgetäskande bedöma hur stort anslaget till myndigheten behöver vara för att myndigheten ska klara av sina nya arbetsuppgifter. För att klargöra vilket anslag, vilka resurser och vilka kompetenser, som Datainspektionen behöver , anser vi att regeringen bör ge Statskontoret i uppdrag att utföra en myndighetsanalys av Datainspektionen enligt den modell som Statskontoret redovisade till regeringen i rapporten för myndighetsanalyser (2008:17). Statskontorets analys bör belysa bland annat följande punkter: hur Datainspektionen fullgör sitt uppdrag enligt sin instruktion, hur interna faktorer och omvärldsfaktorer påverkar Datainspektionens möjligheter att fullgöra sitt uppdrag, samt beskriva interna faktorer och omvärldsfaktorer av särskild vikt för Datainspektionens möjligheter att fullgöra sitt uppdrag framöver, hur Datainspektionens samverkan med andra aktörer fungerar, vilka faktorer som är av särskild betydelse för effektiviteten i verksamheten, och identifiera områden som Datainspektionen eller regeringen behöver utveckla för att Datainspektionen ska kunna fullgöra sitt uppdrag framöver, samt föreslå hur detta bör göras. Myndighetsanalysen ska utgöra ett led i ambitionen att ge Datainspektionen optimala förutsättningar att leva upp till de möjligheter och utmaningar som dataskyddsförordningen innebär, och till de förväntningar som finns på prestationer och effekter inom området.6 En myndighetsanalys enligt nämnda modell innefattar en systematisk metod för extern analys av en myndighet med syftet att utveckla och stödja arbetet med den årliga resultatstyrningen och bredda regeringens bedömningsunderlag.7 Kommittén vill betona att en sådan myndighetsanalys har en annan inriktning och ett annat syfte än det uppdrag som regeringen gav åt Utredningen om tillsynen över den personliga integriteten och som avrapporterades genom betänkandet Ett samlat ansvar för tillsyn över den personliga integriteten.8 I betänkandet 6Det förekommer även att myndigheter själva ber om en myndighetsanalys av Statskontoret, exempelvis för att kunna påvisa ett behov av ökade anslag. 7Statskontorets rapport för myndighetsanalyser (2008:17). föreslås i huvudsak att Datainspektionen ska vara tillsynsmyndighet enligt dataskyddsförordningen samt att en ändring ska göras av anställningsformen för Datainspektionens chef. Vidare lämnas förslag till mindre ändringar i gränsdragningen mellan tillsynsansvaret hos Datainspektionen, respektive . 15 Forskning om personlig integritet 15.1.1Forskning om inverkan på människor och samhället En bilaga till vårt delbetänkande utgjordes av en systematisk kunskapsöversikt över forskning om på vilket sätt människans beteende påverkas av förändringar i den privata sfären och av den accelererande digitala hanteringen av personuppgifter. Översikten, som tagits fram av , visar att det såväl internationellt som i finns förvånansvärt lite kunskap om vilken inverkan som digital övervakning har på människans beteende och uppfattning om världen och sig själv. Översikten visar att det råder en tämligen strikt indelning av forskningen om digitalisering och personlig integritet mellan huvudsakligen tre vetenskapliga fält. Det första är ett tekniskt fält som i hög grad handlar om systemutveckling. Det andra är ett juridiskt fält med fokus på frågor om författningsskydd för den personliga integriteten. Det tredje är ett mer allmänt samhällsvetenskapligt fält som samlar bl.a. informatik, psykologi, marketing och managementforskning. Gemensamt för alla tre fälten är att forskare inom respektive fält endast sällan visar intresse för vad som görs inom något av de andra fälten. Något annat som också framkommit är att det, i forskning som rör personlig integritet, saknas en gemensam begreppsapparat och gemensamma metoder för de olika vetenskapliga fälten och disciplinerna. Iakttagelserna i översikten kan hjälpa till att förklara varför problemställningar som förekommer inom juridiken (exempelvis att uppgifter hanteras för nya ändamål som är oförenliga med de ursprungliga ändamål för vilka uppgifterna samlades in) inte i högre utsträckning hämtar idéer till lösningar från teknikfältet (exempelvis att uppgifterna anonymiseras på ett sätt som minimerar integritets- Forskning om personlig integritet riskerna utan att försämra möjligheten att få ny kunskap ur datasamlingen). I det här kapitlet lämnar förslag till åtgärder för att öka kunskapen om på vilket sätt människan påverkas av förändringar i den privata sfären och av den accelererande digitala hanteringen av personuppgifter. 15.1.2Användningen av integritetsskyddande teknik En fråga som ligger nära forskningen, är användandet av integritetsskyddande teknik. I delbetänkandet uppmärksammade kommittén att integritetsskyddande teknik skulle kunna användas i betydligt större omfattning än vad som är fallet . Vi gav en informationssäkerhetspecialist i uppdrag att ta fram en översikt över integritetsskyddande teknik, vilken ingick som en bilaga till delbetänkandet. I översikten tas flera goda exempel upp. Översikten har som utgångspunkt bland annat att användningen av väl utformad integritetsfrämjande teknik gör det möjligt att uppnå en mer fördelaktig jämvikt i avvägningen mellan nyttoeffekter och risker för den personliga integriteten. förslag: Regeringen bör ge i uppdrag att fördela anslag till tvärvetenskaplig forskning om på vilket sätt människan påverkas av förändringar i den privata sfären och av den accelererande digitala hanteringen av personuppgifter. Forskning om personlig integritet Det behövs mer kunskap anser att regeringen, , myndigheterna samt många företag och organisationer behöver ett bättre kunskapsunderlag för att kunna fatta välgrundade beslut och kunna göra långsiktiga bedömningar när det gäller samhällets digitalisering. Digitaliseringen är enligt kommitténs uppfattning av så avgörande betydelse för samhällets framtida utveckling, att regeringen omgående bör investera i forskning för att förbättra kunskapsläget. Exempelvis bör ökad kunskap ge bättre förutsättningar för regeringens satsning på att digitalisera förvaltningen, i synnerhet som digitaliseringen av den offentliga förvaltningen ofta har ett ensidigt fokus på effektivisering och lägre kostnader. Sådan forskning bör vara tvärvetenskaplig och vara inriktad frågan om på vilket sätt människan påverkas av förändringar i den privata sfären och av den accelererande digitala hanteringen av personuppgifter. En möjlighet att åstadkomma mer forskning är att regeringen finansierar inrättandet och driften av ett nytt, tvärvetenskapligt forskningsinstitut med inriktning på personlig integritet. Ett övergripande villkor för finansieringen kan då vara att forskningen bedrivs tvärvetenskapligt. Ett sådant instituts självständighet kan sägas utgöra såväl en styrka som en svaghet. Institutet är inte bundet av någon annan myndighets bedömningar eller instruktioner, utan kan självständigt formulera frågeställningar och utveckla egna metoder utan att begränsas av några utomstående intressen eller styrgrupper. Det innebär emellertid även att någon löpande extern styrning av verksamheten i syfte att garantera exempelvis tvärvetenskapligheten, inte är möjlig. Ett exempel på forskningsinstitut med tvärvetenskaplig inriktning är vid . Inrättandet av ett självständigt forskningsinstitut är ett kostsamt alternativ, eftersom det innebär fasta kostnader för löner, lokaler, utrustning m.m. Forskning om personlig integritet En myndighet som fördelar forskningsanslag En annan möjlighet att åstadkomma mer forskning är att regeringen ger en myndighet på området i uppdrag att fördela anslag till forskningsprojekt om personlig integritet med tvärvetenskaplig inriktning hos olika forskningshuvudmän. Förslaget förutsätter att regeringen ger den utvalda myndigheten anslag att fördela till forskningsprojekt. Styrkan med denna modell är att myndigheten kan se till att varje projekt som beviljas medel har en tvärvetenskaplig prägel. Vidare kan myndigheten styra forskningen till frågor som är relevanta för myndighetens uppdrag. Svagheten hos modellen ligger i att forskningshuvudmännen blir mindre fria att själva formulera forskningsfrågor, vilket kan leda till att forskningens inriktning blir alltför snäv och inriktad på myndighetens egna intressen. Exempel på myndigheter som fördelar forskningsanslag är Kronofogden, MSB och Konsumentverket.1 Dessa myndigheter har vetenskapliga råd knutna till sig, som har till uppgift att bedöma vilka projekt som ska få stöd. Det är en förutsättning för detta alternativ att den ansvariga myndigheten knyter vetenskaplig kompetens till sig, för att kunna bedöma projektens vetenskaplighet och de sökande forskarnas kompetens. En annan möjlighet att åstadkomma mer forskning är att via fördela forskningsanslag som öronmärks för tvärvetenskaplig forskning om på vilket sätt människan påverkas av förändringar i den privata sfären och av den accelererande digitala hanteringen av personuppgifter. är största externa finansiär av forskning inom universitets- och högskolesektorn. Myndigheten har även i uppgift att göra forskningspolitiska analyser, utvärdera forskning och ge regeringen forskningspolitiska råd. En betydande del av finansiering består av stöd till vetenskapliga projekt där forskare själva formulerat frågeställ- 1 Av särskilt intresse i detta sammanhang, är att MSB bl.a. finansierar forskning om informationssäkerhet. Forskning om personlig integritet ningar och utarbetat metoder för att besvara dessa. För att kunna ge dessa forskningsstöd har flera olika anslag från regeringen. Dessutom finansierar forskningsinfrastruktur, forskningsmiljöer, forskarskolor, olika former av samverkan samt medlemskap i internationella organisationer och större forskningsanläggningar.2 För sina prövningar av ansökningar om anslag, anlitar cirka 800 aktiva forskare, svenska eller utländska, med expertkunskaper inom olika områden. beredningsgrupper bedömer och prioriterar drygt 6 000 ansökningar efter vetenskaplig kvalitet och de sökandes kompetens. finns således en väl fungerande organisation redan på plats för att bedöma vetenskaplighet och kompetens. Det förekommer att regeringen ger i uppdrag att finansiera forskning med viss inriktning. Två exempel på detta är ett flervetenskapligt grundforskningsprogram om det civila samhället och ett forskningsprogram inom området rasism.3 ombesörjer i dessa fall utlysningar och prövningar av individuella ansökning till programmen. Kommittén förordar alternativet att ge i uppdrag att fördela forskningsanslag som öronmärks för tvärvetenskaplig forskning om på vilket sätt människan påverkas av förändringar i den privata sfären och av den accelererande digitala hanteringen av personuppgifter. Kommittén är av uppfattningen att detta alternativ både ger störst möjlighet att uppnå bra forskningsresultat och kostar mindre än de andra alternativen. Det finns en risk om regeringen alltför detaljerat styr forskningens inriktning: En alltför snäv inriktning och detaljerad styrning kan innebära att konkurrensen om att få utföra forskningen minskar, eftersom avgränsningen begränsar antalet forskare som kan komma i fråga. Om det endast är ett mindre antal forskare som visar intresse 2Vetenskapsrådets årsredovisning 2015. 3Regleringsbrev för avseende . Forskning om personlig integritet för området, finns det en risk för att forskningen blir smalare och att resultaten påverkas negativt. Det är därför viktigt att regeringen inte ytterligare avgränsar forskningens inriktning, jämfört med det förslag som lämnas här. Beträffande storleken på de forskningsmedel som bör få i uppdrag att fördela, anser vi att ledning kan sökas i liknande satsningar som regeringen genomfört med hjälp av . Exempelvis har regeringen givit i uppdrag att fördela för att stärka forskning inom området rasism.4 Vidare har regeringen givit i uppdrag att genomföra ett flervetenskapligt grundforskningsprogram om det civila samhället för vilket disponerar totalt.5 Med utgångspunkt i dessa satsningars storlek, och utifrån bedömningen att det behövs mer kunskap för att kunna genomföra digitaliseringen av samhället på bästa möjliga sätt för individen, anser vi att som ett engångsbelopp bör få disponera för forskning om på vilket sätt människan påverkas av förändringar i den privata sfären och av den accelererande digitala hanteringen av personuppgifter. 15.2.2Integritetsskyddande teknik och arbetssätt förslag: Regeringen bör ge i uppdrag att främja projekt som involverar integritetsskyddande teknik och arbetssätt. Regeringen bör även ge i uppdrag att upplysa om dataskyddsförordningen och att i verkets arbete med att finansiera och på andra sätt främja forskning och utveckling ställa krav utifrån dataskyddsförordningens regler. 4Regeringsuppdrag U2016/00588/F. 5Regleringsbrev för avseende . Forskning om personlig integritet Det är kommitténs uppfattning att användningen av väl utformad integritetsskyddande teknik borde öka generellt i samhället och på olika sätt stödjas av det allmänna. Förutom att det finns outnyttjade möjligheter att stärka integritetsskyddet utan negativa effekter på användbarhet och effektivitet, kommer dataskyddsförordningen att ställa nya krav på användning av integritetsskyddande teknik och arbetssätt, bland annat dessa: Uttryckliga krav införs på inbyggt dataskydd och dataskydd som standard (artikel 25). Viss precisering görs (i förhållande till dataskyddsdirektivet) av de allmänna kraven på säkerhet i samband med behandlingen (artikel 32). Det införs en skyldighet att göra konsekvensbedömningar avseende dataskydd (artikel 35). Även de nya kraven i dataskyddsförordningen talar således för att det allmänna i större utsträckning än bör sysselsätta sig med integritetsskyddande teknik och arbetssätt. Ett sätt för regeringen att bidra till utvecklingen, är att ge (Verket för innovationssystem) i uppdrag att främja användningen av integritetsskyddande teknik och arbetssätt. har enligt sin instruktion till uppgift att främja hållbar tillväxt genom finansiering av behovsmotiverad forskning och utveckling av effektiva innovationssystem.6 Myndigheten har ett särskilt ansvar inom teknikområdet samt områdena transport, kommunikation och arbetsliv. Med innovationssystem avses nätverk av offentliga och privata aktörer där ny teknik och kunskap produceras, sprids och används. Myndigheten ska även verka för nyttiggörande av forskning för att uppnå hållbar tillväxt och stärka konkurrenskraft. utför sitt uppdrag bland annat genom att finansiera forskning och utveckling av effektiva innovationssystem. investerar i finansiering av olika insatser. 6 Förordningen (2009:1101) med instruktion för Verket för innovationssystem. Forskning om personlig integritet Kommittén anser att regeringen bör ge i uppdrag att främja sådana projekt som involverar integritetsskyddande teknik och arbetssätt. Regeringen bör även ge i uppdrag att upplysa om dataskyddsförordningen och att i verkets arbete med att finansiera och på andra sätt främja forskning och utveckling ställa krav utifrån dataskyddsförordningens regler. 16Uppföljning av grundlagsskyddets effekt i lagstiftningsarbetet ska inom ramen för kartläggningsuppdraget även följa upp och analysera effekterna i lagstiftningsarbetet av den förstärkning av grundlagsskyddet för den personliga integriteten, som infördes genom lagstiftning som trädde i kraft . Den förstärkning som avses här, är bestämmelsen i 2 kap. 6 § andra stycket regeringsformen (RF). Bestämmelsen stadgar att var och en är skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten som sker utan samtycke och innebär kartläggning eller övervakning av enskilds personliga förhållanden. 16.1.1Bakgrunden till det förstärkta integritetsskyddet i regeringsformen Regeringen beslutade om direktiv till en parlamentarisk kommitté, Integritetsskyddskommittén1, med uppdrag att kartlägga och analysera sådan lagstiftning som rör den personliga integriteten, att överväga om regeringsformens bestämmelse om skydd för den personliga integriteten borde ändras samt att överväga om det vid sidan av befintlig lagstiftning borde finnas generellt tillämpliga bestämmelser till skydd för den personliga integriteten. Kartläggnings- och analysuppdraget redovisades i betänkandet Skyddet för den personliga integriteten – Kartläggning och analys.2 Uppföljning av grundlagsskyddets effekt i lagstiftningsarbetet I sitt slutbetänkande Skyddet för den personliga integriteten – Bedömningar och förslag3 redovisade kommittén bl.a. förslag till ett stärkt grundlagsskydd för den personliga integriteten. kunde efter genomförd kartläggning konstatera att rättighetsbegränsande lagstiftning ofta arbetades fram utan att konsekvenserna för integritetsskyddet beaktades tillräckligt4.