sou · H6B316 · 2018-03-07 00:00:00 — Fler och fler saker kom- mer att kunna koppla upp sig mot internet och mot varandra (inte minst automatiserade fordon), vilket skapar nya möjligheter för att skapa och skicka data mellan olika platser. Många IoT-uppkopplade saker kommer att vara kopplade mot enheter som smartphones, surfplattor eller datorer, där data som produkten har skapat kan ana- lyseras. Produkten kan också kontrolleras genom en tillhörande applikation. I IoT är sensorer betydelsefulla för informationsinsamlingen. Sensorer kan användas till att samla in information som kan vara sär- skilt känsliga med avseende på den enskildes integritet då de kan registrera information som har samband med en människas kropp och därmed avslöja sjukdomstillstånd etc. En sensor kan också an- vändas till övervakning av människor. Detta kan få betydelse för till exempel användningen av kameror i automatiserade fordon. Ett problem kan vara att användaren av det automatiserade fordonet kan samtycka till informationsinsamling, medan människor utanför for- donet inte är medvetna om informationsinsamlingen eller för den delen har möjlighet att invända mot denna. I detta sammanhang vill jag även nämna . Big Data- system använder algoritmer som möjliggör sammanställning av enor- ma mängder data till användbar statistik med vilken man både kan analysera historik och förutspå trender, något som kan vara använd- bart till exempel vid trafikplanering (genom att samla in uppgifter om var människor befinner sig). kan även användas till att skapa 41 Cookies är en liten textfil som en webbserver lagrar på en persons dator när denne besöker en hemsida för att t.ex. identifiera vem det är som tittar på hemsidan. Clicktrails är ett sätt att se vilka sidor som besöks av en användare i följd. Web-bugs är små bildfiler som levereras till webbsidor, men de är så små att en människa inte ser dem. Web-bugs är ett verktyg för att analysera effekten hos en viss webbsida. Web-bugs skapar vanligtvis en cookie på användarens dator och med hjälp av denna skickas information om användaren till den som levererat en web- bug till dennes hemsida. profiler över människor för att bland annat förutspå deras framtida beteende, genom olika processer som går under namnet profilering. Profilering har stor potential att öka vårt samlande vetande och för att se nya samband, men skapar också risker i förhållande till den personliga integriteten eftersom den möjliggör utvinning av kunskap om människor. Skapandet av kunskapen om människor kräver i sin tur information som till stor del utgörs av personuppgifter. Infor- mationen kan komma från flera källor till exempel uppgifter personen lämnat själv genom samtycke i sociala medier eller från myndigheter. Hos myndigheter kan det finnas uppgiftssamlingar i form av per- sonregister såsom polismyndighetens belastningsregister eller skatte- verkets databaser över skattebetalare, som skulle kunna användas för kartläggning av enskildas förhållanden. Även privata aktörer kan ha uppgiftssamlingar om enskilda exempelvis hos kreditupplysnings- företag, banker, telekomföretag, butikskedjor med egna kundkort (smart cards), försäkringsföretag och företag inom vårdsektorn. Profilering kan också användas till att analysera handlingsmönster hos en person och dra slutsatser om personens beteende. Beteenden som personen kanske inte är medveten om själv. Med hjälp av profiler är det möjligt för kommersiella aktörer att skräddarsy tjänster åt enskilda individer efter deras medvetna och omedvetna behov. Profi- lering kan dock aldrig ge en helt säker bild av en person eftersom utfallet är beroende av algoritmer. Är inte algoritmen tillräckligt bra blir inte heller profileringen bra. Det pågår ett forskningsprojekt (), som finansieras av . I projektet studerar man bland annat plattformar för informationsdelning, analysplatt- form och olika affärsmodeller i syfte att skapa effektivare och säkrare transporter med minskad miljöpåverkan. Informationen kommer från många olika källor till exempel fordon, väginfrastruktur och kartdata, men även från andra källor såsom sociala medier, smart cards, crowd- sources42 och mobila nätverk. Sammanfattningsvis är möjligheterna till att samla in data om människor på individ- och gruppnivå stora, men det är först när den insamlade informationen börjar användas som eventuella konsekven- ser realiseras. Målet för insamlingen av uppgifter är sällan själva 42 Crowdsourcing innebär att via internet använda en plattform där internetanvändare kan lämna idéer eller utvärdera andras idéer fritt. informationen i sig utan det intressanta är vad informationen kan berätta om en individ eller en grupp av människor och vad det kan användas till. 8.5.3Mänskliga rättigheter och skydd i regeringsformen – rätten till privatliv Det finns flera internationella konventioner/deklarationer som berör mänskliga rättigheter och rätten till privatliv. De utgör grunden för regelverket som reglerar den enskildes integritet i relation till person- uppgifter även om de uttryckligen inte nämner personuppgifter. I artikel 12 i FN:s allmänna förklaring om de mänskliga rättigheterna anges till exempel att ingen får utsättas för godtyckligt ingripanden i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. En annan FN konvention är Konventionen om medborgerliga och politiska rättigheter , som har ratificerat. I art 17 anges att: 1.Ingen får utsättas för godtyckligt eller olagligt ingripande med avseende på privatliv, familj, hem eller korrespondens och inte heller för olagliga angrepp på sin heder eller sitt anseende. 2Var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. En tredje konvention av intresse för utredningen är Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna , som tillika är svensk lag. Artikel 8 handlar om rätten till skydd för privat- och familjeliv. I artikeln anges att 1.Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens.43 43 Med detta avses bl.a. skyddet av personuppgifter. 2.Offentlig myndighet får inte inskränka åtnjutandet av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Konventionen ger alltså en person en rätt till skydd för privat- och familjeliv, men rättigheten är inte absolut. Begränsningar får ske med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt. Artikeln riktar sig primärt till staten, men innebär också en så kallad positiv förpliktelse för staten att se till att den enskilde också kom- mer i åtnjutande av rättigheten i relation till andra enskilda rätts- subjekt. Om en enskild upplever att hans eller hennes rättigheter har kränkts kan denne vända sig till och få sin sak prövad där (och i förlängningen erhålla ett skadestånd från staten). De två andra överenskommelserna, som nämnts i avsnittet, ger ingen rätt åt enskilda att klaga i domstol. De är inte heller rättsligt för- pliktande. har i ett antal rättsfall tolkat artikel 8 i konventionen i förhållande till personuppgifter. Ett antal rättsfall är relaterade till medicinska uppgifter om enskilda.44 Det finns också ett rättsfall som handlar om när det är tillåtet att dela information inför en anställning.45 Ett antal rättsfall handlar om huruvida en privat- person har rätt att ta del av hemliga uppgifter om sig själv.46 Ett tredje rättsfall handlar om personuppgifter i relationen enskild– enskild.47 Det finns även nationella bestämmelser som skyddar den enskil- des integritet. I 1 kap. 2 § 1 stycket regeringsformen slås det fast att den offentliga makten ska utövas med respekt bland annat för den enskilda människans frihet och i fjärde stycket anges att det allmänna ska värna den enskildes privatliv och familjeliv. Bestämmelsen utgör en målsättningsstadgande och markerar målen för det allmännas verksamhet. Den har ingen bindande verkan och medför inte några rättigheter för den enskilde. En liknande bestämmelse finns i 2 kap. 44Se Chave nee Jullien v. (1991) Appl 14461/88, 71 DR 141 och Z v. (1997) ECHR 22009/93; (1998) 25 EHRR 371 och MS v. , 27, 1997 Reports 1997-IV, 1437. 45Se v (1987) ECHR 9248/81; (1987) 9 EHRR 433. 46Gaskin v. the , 7, 1989, Series A, No 160 och Rotaru v. (2000) ECHR 28341/95; 8 BHRC 449. 47X and Y v. , 26, 1985, Series A, No 91. 6 § 2 stycket regeringsformen. Där anges att ”var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden”. Vad kartläggning och övervakning innebär i regeringsformen ska bestäm- mas utifrån allmänt språkbruk, vilket medför att skapa sig omfat- tande kunskap om en människa bör falla in under begreppet. Den andra regeln ger visserligen den enskilde skydd mot intrång i dennes personliga integritet, men dessa intrång ska vara betydande, vilket innebär en viss tröskel för att rättigheten ska aktualiseras. Vidare gäller den uttryckligen endast mellan den enskilde och det allmänna vilket medför att de eventuella intrång som begås av till exempel privata kommersiella aktörer inte träffas av bestämmelsen.48 Bestäm- melsen innebär också att inskränkningar i det grundlagsfästa skyddet kan göras endast genom lag och bara under de förutsättningar som anges i 2 kap. regeringsformen (2 kap. 20 §). 8.5.4Internationella riktlinjer om personuppgifter Skydd av den personliga integriteten är ett ämne som berör männi- skor över hela världen. Utbyte av information sker i stor skala på global nivå och har stor ekonomisk betydelse. Det finns därför ett behov av internationella riktlinjer som kan utgöra modell för hur nationella regelverk kan utformas. De är inte juridiskt bindande. Äldst är riktlinjer, sedan kom FN med minimikrav för nationell lagstiftning. (och utveck- ling) arbetar bland annat med att skapa och sprida policyer som ska förbättra livskvalitén för människor. Den mest relevanta policyn för denna utredning är The Privacy Framework. antogs och uppdaterades . innehåller åtta grundläggande principer. 1.Samlingsbegränsning: Det bör finnas gränser för hur man får samla in personlig information. Det ska ske rättvist och helst med tillåtelse av de berörda. Med personlig information menas 2009/10:80 s. 177. all information som kan relateras till en identifierad person eller en person som det är möjligt att identifiera. 2.Datakvalitet: Den information man har lagrat ska vara korrekt, uppdateras om det krävs, samt vara relevant för syftet den samlats in för. 3.Syftesnoggrannhet: Vid insamlingstillfället bör man veta syftet med informationsinsamlingen. Man bör sedan använda informa- tionen i enlighet med detta syfte. 4.Användningsbegränsning: Man får endast behandla personupp- gifter utanför det bestämda syftet om man har tillåtelse av de berörda personerna eller om lagen ger auktoritet. 5.Säkerhet: Man bör skydda personlig information från skada och otillåten behandling: 6.Öppenhet: Man bör vara öppen med att man använder personlig information och med vilket syfte. Man bör även informera de behandlade om vem som är datakontrollant (registeransvarig). 7.Individuell medverkan: Behandlade personer bör ha rättigheten att veta om information lagras om dem eller ej, och i så fall vilken information det gäller. De bör kunna ifrågasättas om deras information behandlas på ett korrekt sätt och om den inte gör det bör de kunna kräva att informationen ändas eller tas bort. 8.Ansvarskrav: En datakontrollant bör vara ansvarig för att dessa kriterier följs. innehåller även regler för flödet av datauppgifter över landsgränser. Utgångspunkten är information mellan två länder ska flöda fritt under förutsättning att länderna iakttar ramverket. Enskil- da länder kan dock ställa upp särskilda begränsningar för vissa slag av personuppgifter till exempel ha ett skydd för export av särskilds for- mer av personuppgifter. Även FN är intresserad av att skydda personuppgifter. utarbetade FN minimiregler för hur medlemsländer ska arbetar med persondata i Guidelines for the Regulation of Files. Reglerna är inte lagligt bindande utan det är upp till varje medlemsstat att uppfylla minimikraven i sin nationella lagstiftning. Till innehållet påminner riktlinjerna mycket om andra internationella överenskommelser om skydd för personuppgifter. är en mellanstatlig europeisk samarbetsorganisation. tog initiativet till att inrätta den första bindande kon- ventionen för skydd av personuppgifter nämligen Konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter (ett annat namn är nummer 108) , som har antagit. Konventionen står öppen för alla län- der att ansluta sig till. I anslutning till konventionen har antagit icke bindande rekommendationer för behandling av person- uppgifter på vissa områden, bland annat när det gäller användningen av personuppgifter inom polissektorn.49 Konventionen får betydelse i på så sätt att enligt den nuvarande personuppgiftslagen är det tillåtet att föra över personuppgifter för användning i en stat som godkänt konventionen. En förutsättning är dock att uppgifterna enbart ska användas i den staten. Konventionen gäller enbart automatisk behandling av personupp- gifter. Den har tre syften: •att införa grundläggande principer och rättsligt bindande normer. Dessa bestämmelser skyddar mot angrepp på privatlivet från of- fentligt och privat håll oberoende av typ av teknik som används, •att tillhandahålla en rättslig ram för överföring av personuppgifter mellan länder som har ratificerat konventionen och •att tillhandahålla en plattform för ett jämställt multilateralt sam- arbete mellan stater som är part i konventionen. De grundläggande principerna finns i artiklarna 5–8. I artikel 5 an- ges att personuppgifter som undergår automatisk databehandling a) ska ha erhållits och ska behandlas på ett korrekt och lagligt sätt, 49 Recommendation No. R (87) 15 of to Member States regu- lating the use of in the sector b)ska lagras för särskilt angivna och lagliga ändamål och får inte an- vändas på ett sätt som är oförenligt med dessa ändamål, c)ska vara ändamålsenliga, relevanta och inte onödiga för de ända- mål för vilka de lagras, d)ska vara riktiga och, om detta kan anses nödvändigt, hållas aktu- ella och e)ska bevaras på ett sådant sätt att de registrerade personerna inte kan identifieras än som är nödvändigt med hän- syn till det ändamål för vilket dessa uppgifter lagras. Artikel 6 handlar om särskilt känsliga personuppgifter. Med detta avses bland annat uppgifter som avslöjar rasursprung, politiska åsikter eller religiösa eller andra trosuppfattningar, personuppgifter som rör hälsa eller sexualliv och personuppgifter som hänför sig till att någon har dömts för brott. Sådana uppgifter får bara behandlas om det regleras i nationell lagstiftning. I artikel 7 anges att lämpliga säkerhetsåtgärder ska vidtas för att skydda personuppgifterna. I artikel 8 anges att var och en ska ha möjlighet att ta del av de lagrade personuppgifterna som finns om honom eller henne. Han eller hon ska också kunna få uppgifterna rättade eller raderade. I artikel 9 anges att i vilken utsträckning de grundläggande principerna kan frångås. Det kan ske om det medges i den natio- nella lagstiftningen och avvikelsen är nödvändig i ett demokratiskt samhälle för att tillgodose vissa ändamål till exempel för att skydda statens säkerhet, den allmänna säkerheten eller statens penning- intresse, för att bekämpa brottslighet eller för att skydda den regi- strerade personen eller andra personers fri- och rättigheter. Inskränk- ningar får även göras när det gäller automatiserade personuppgifter som används för statistiska ändamål eller vetenskapliga forsknings- ändamål om det uppenbarligen inte föreligger någon risk för intrång i de registrerades personliga integritet. kompletterades konventionen med ett tilläggsprotokoll som rör tillsynsmyndigheter och gränsöverskridande information till tredje land. Det pågår ett arbete med att modernisera Europaråds- konventionen. Ett förslag till ny konvention lades fram . 8.5.6EU:s stadga om de grundläggande rättigheterna EU-stadgan om grundläggande rättigheter50 ligger till grund för om dataskydd. I artikel 7 anges att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kom- munikationer. Artikel 8 i stadgan reglerar skydd av personuppgifter. Enligt artikeln har var och en rätt till skydd av de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kon- trollera att reglerna följs. I artikel 52 anges närmare om rättigheternas och principernas räckvidd. Enligt artikeln ska varje begränsning i utövandet av de rättigheter och friheter som erkänns i rättighetsstadgan vara före- skriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Vidare får begränsningar, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som er- känns av unionen eller behovet av skydd för andra människors rättigheter och friheter. EU påbörjade relativt sent ett eget arbete med att införa ett regelverk för skydd av personuppgifter eftersom man förlitade sig på övriga internationella konventioner (se ovan). Till slut blev det dock för stora skillnader mellan medlemsstaterna när det gällde skydd av personuppgifter. påbörjade EU därför ett arbete med att ta fram gemensamma bestämmelser för vad medlemssta- ternas dataskyddslagar ska innehålla. Arbetet resulterade i data- skyddsdirektivet51 , som gäller när detta skrivs. 50Europeiska unionens stadga om de grundläggande rättigheterna (2012/C 326/02). 51Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. (L281) 31 (Nov 23,1995). var en förlängning av EU:s grundläggande principer om mänskliga rättigheter, men byggde även på medlemsstaternas tidiga datalagar, bland annat den svenska datalagen . Direktivet byggde även på principer och . Syftet med direktivet var att få till en balans mellan ett gott integritetsskydd och fri rörlighet för personuppgifter. Direktivet gäller inte för behand- ling av personuppgifter på områden som faller utanför gemenskaps- rätten såsom allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Dataskyddsförordningen och det nya dataskyddsdirektivet EU arbetar i sin regelgivning med direktiv och förordningar. Skill- naden mellan ett direktiv och en förordning är grovt att ett direktiv behöver tolkas av en medlemsstat genom införandet av ett nationellt regelverk (se till exempel personuppgiftslagen nedan) medan en för- ordning är bindande och direkt tillämplig i varje medlemsstat.52 Alla medlemsländerna har gjort sina egna tolkningar av data- skyddsdirektivet, vilket fått till följd att medlemsstaternas nationella regelverk avviker från varandra när det gäller skydd av personupp- gifter. presenterade därför ett förslag till en förordning om dataskydd och behandling av personuppgifter, som skulle ersätta dataskyddsdirektivet i syfte att säkerställa en enhetlig skyddsnivå. antog och Rådet en ny allmän dataskyddsförordning.53 har fram till på sig att se över gällande nationell lagstiftning och an- passa den till dataskyddsförordningen. EU har också antagit ett nytt dataskyddsdirektiv om skydd för enskilda personer med avseende på behöriga myndigheters behandling av personuppgifter för att före- bygga, utreda, upptäcka eller lagföra brott eller verkställa straff- rättsliga påföljder, och det fria flödet av sådana uppgifter. EU:s allmänna dataskyddsförordning är, till skillnad från andra internationella konventioner, mycket bredare i sin omfattning, mer detaljerad och mer komplex. Det huvudsakliga syftet med förord- 52Detta följer av art 288 i fördraget om Europeiska Unionens funktionssätt. 53Europaparlamentet och Rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). ningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för fysiska personer för att förbättra den inre mark- nadens funktion och öka enskildas kontroll över sina personupp- gifter. Förordningen gäller alltså inte för juridiska personer. För- ordningen syftar även till att tydliggöra skyldigheter för de som behandlar personuppgifter. Dataskyddsförordningen utgår ifrån att ett antal grundläggande rätts- liga principer ska tillämpas vid personuppgiftsbehandling (artikel 5, skäl 39). •Laglighet, korrekthet och öppenhet: Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. •Ändamålsbegränsning: Uppgifterna ska samlas in för särskilda, ut- tryckligt angivna och berättigade ändamål. •Uppgiftsminimering: Uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de be- handlas. •Korrekthet: Uppgifterna ska vara korrekta och om nödvändigt upp- daterade. •Lagringsminimering: Uppgifterna får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för ändamålet för vilka personuppgifterna behandlas. •Integritet och konfidentialitet: Uppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet. •Ansvarsskyldighet: Det ska finnas en personuppgiftsansvarig som ska ansvara för att uppgifterna behandlas och att de grundläggande principerna efterlevs enligt ovan. I förordningen anges även de rättsliga grunderna för att få behandla personuppgifter. Utgångspunkten är att samtycke krävs för behand- ling av personuppgifter (artikel 6). Samtycket ska lämnas genom en entydig, frivillig, bekräftande handling för samtliga syften uppgifterna ska behandlas för och kan när som helst återkallas (artikel 7). Barn kan lämna samtycke om de har fyllt . För yngre barn lämnas samtycke av vårdnadshavare (artikel 8). Behandling av personuppgifter kan också vara laglig om något av följande villkor är uppfyllda (artikel 6, skäl 44–50). •Avtal: Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part. •Rättslig förpliktelse: Behandling är nödvändig för att fullgöra en rättslig förpliktelse som vilar på den personuppgiftsansvarige. •Grundläggande intressen: Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för annan fysisk person. •Arbetsuppgift av allmänt intresse: Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. •Myndighetsutövning: Behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning. •Intresseavvägning: Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigande in- tressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av person- uppgifter, särskilt när den registrerade är ett barn. En personuppgiftsansvarig är en viktig person i skyddet av person- uppgifter. En personuppgiftsansvarig är den som behandlar person- uppgifter i sin verksamhet t.ex. ett företag eller en myndighet (det är alltså inte en anställd).