sou · H9B387 · 2021-11-02 00:00:00 — Det är ännu inte klarlagt vilka eller hur många verksamheter som i sig kommer att omfattas av granskningssystemet och vars information är så skydds- värd att de bör omfattas av systemet. Det saknas vidare tillräckliga och allmängiltiga verktyg för att en verksamhet ska kunna bedöma om den hanterar sådan skyddsvärd information att verksamheten omfattas av regelverket. Den bedömningen blir ännu svårare för en investerare att göra. På det område utanför säkerhetsskyddslagstift- ningen där det har införts en författningsreglerad skyldighet för både Verksamheter som ska omfattas av granskningssystemet privata och offentliga aktörer att klassa information – NIS-regel- verket – har det visat sig att aktörerna inte levt upp till kraven i tillräcklig utsträckning. Det innebär att det inte finns förutsätt- ningar att nu föreslå bestämmelser som är tillräckligt tydliga, klara och förutsebara och som med tillräcklig säkerhet kan avgränsa tillämp- ningsområdet när det gäller verksamheter som hanterar känslig infor- mation som härrör från andra verksamheter som omfattas av förslagen. När ett svenskt granskningssystem är på plats och de osäkerheter som finns kring tillämpningsområdet har klarlagts beträffande de primära verksamheterna kan det dock finnas anledning att åter- komma till frågan, inklusive lämpligheten av att i författning reglera de aktuella aktörernas skyldighet att klassa sin information. Det bör i sammanhanget påminnas om att information som är av betydelse för säkerhet, det vill säga den allra mest skydds- värda informationen, skyddas genom bestämmelserna om säkerhetsskyddsavtal i säkerhetsskyddslagen, se avsnitt 10.5.3. Förslag: Investeringar i verksamhet vars huvudsakliga ändamål innefattar behandling av känsliga personuppgifter eller lokaliser- ingsuppgifter ska omfattas av ett svenskt system för anmälan och granskning av utländska direktinvesteringar. Med känsliga personuppgifter ska avses sådana personuppgifter som anges i artikel 9.1 i dataskyddsförordningen, det vill säga person- uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller upp- gifter om en fysisk persons sexualliv eller sexuella läggning. Med lokaliseringsuppgifter ska avses samma sak som enligt lagen om elektronisk kommunikation, det vill säga uppgifter som be- handlas i ett elektroniskt kommunikationsnät eller av en elektronisk kommunikationstjänst och som visar den geografiska positionen för terminalutrustningen för en användare. Verksamheter som ska omfattas av granskningssystemet Begreppet personuppgifter definieras i dataskyddsförordningen Dataskyddsförordningen75 syftar till att skapa en enhetlig och likvär- dig nivå inom EU när det gäller enskildas rätt till skydd av personupp- gifter. Personuppgifter definieras i artikel 4 i dataskyddsförordningen som varje upplysning som avser en identifierad eller identifierbar fysisk person. En identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identi- fierare som ett namn, ett identifikationsnummer, en lokaliserings- uppgift eller onlineidentifikatorer (exempelvis IP-adresser) eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Med personuppgifter avses alltså all information som hand- lar om fysiska personer som kan identifieras. Exempel på person- uppgifter är namn, e-postadresser, fotografier, och ID-kortnummer. Personuppgifter får behandlas bara under vissa förutsättningar. Med behandling avses enligt artikel 4.2 en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automati- serat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, ut- lämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. Beträffande vissa särskilda kategorier av uppgifter gäller enligt artikel 9.1 i dataskyddsförordningen att all behandling är förbjuden. Det gäller känsliga personuppgifter, det vill säga personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filoso- fisk övertygelse eller medlemskap i fackförening, genetiska uppgifter76, biometriska uppgifter77 för att entydigt identifiera en fysisk person, 75Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 76Genetiska uppgifter definieras i dataskyddsförordningen som alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik informa- tion om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga. 77Biometriska uppgifter definieras i dataskyddsförordningen som personuppgifter som erhål- lits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter. Verksamheter som ska omfattas av granskningssystemet uppgifter om hälsa78 eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Det finns dock vissa undantag från förbudet. Om en enskild person lämnar sitt samtycke till det, är utgångspunkten att alla typer av personuppgifter som rör honom eller henne får behandlas.79 Känsliga personuppgifter kan användas till skada för säkerhet, allmän ordning och allmän säkerhet Personuppgifter förekommer av naturliga skäl i alla företag. Ett före- tag behöver behandla personuppgifter för att till exempel betala ut löner till eller teckna försäkringar för anställda. Den absoluta majo- riteten av investeringar som ger tillgång till personuppgifter är helt oproblematiska ur ett säkerhetsperspektiv. Sådana uppgifter bör inte omfattas av ett investeringsgranskningssystem. Personuppgifter som kan användas för att kartlägga eller påverka människor på olika sätt kan medföra risker för säkerhet, allmän ordning eller allmän säkerhet. Sådan påverkan kan ske direkt genom till exempel utpress- ning utifrån känsliga uppgifter eller mer indirekt genom olika typer av riktad information. Vi har i kapitel 7 redogjort närmare för risker kopplade till kartläggning och påverkan. De personuppgifter som har allra störst potential att användas i skadliga syften är sådana som pekas ut som känsliga i dataskydds- förordningen, det vill säga uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlem- skap i fackförening, genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Om ett svenskt granskningssystem ska omfatta investeringar i verksamhet som hante- rar personuppgifter, är det en rimlig utgångspunkt att det ska ta sikte på verksamhet som hanterar just känsliga personuppgifter. 78Uppgifter om hälsa definieras i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårds- tjänster, vilka ger information om dennes hälsostatus. 79Samtycke kan lämnas för ett eller flera specifika ändamål. Samtycke kan inte lämnas om unions- rätten eller medlemsstaternas nationella rätt föreskriver att förbudet mot behandling av käns- liga uppgifter inte kan upphävas av den registrerade. Verksamheter som ska omfattas av granskningssystemet Många företag hanterar känsliga personuppgifter Känsliga personuppgifter finns hos många företag. Information i form av uppgifter om människors hälsa förekommer av förklarliga skäl hos bland annat vårdgivare av olika slag samt hos försäkringsbolag. I dessa företag kan det i samband med sådana uppgifter finnas även andra känsliga uppgifter som uppgifter om exempelvis ras eller etniskt ur- sprung, sexualliv eller sexuell läggning. Försäkringsföretag behöver behandla också andra känsliga personuppgifter än sådana om hälsa. Ett exempel är i samband med gruppförsäkringsavtal där det kan vara nödvändigt för att fastställa vilken grupp en enskild tillhör. En registrer- ing av medlemmar i den försäkrade gruppen kan då innebära en in- direkt registrering av känsliga personuppgifter, exempelvis om försäk- ringsavtalet avser medlemmar i en fackförening eller ett politiskt parti. Känsliga personuppgifter hanteras av företag också i företagens egenskap av arbetsgivare. En arbetsgivare kan behöva behandla känsliga personuppgifter för att kunna fullgöra sina skyldigheter eller utöva sina rättigheter gentemot sina arbetstagare och deras fackliga organisationer. Uppgifter om anställdas hälsa behövs till exempel för att bedöma arbets- tagarens rätt till frånvaro, beräkna sjuklön eller för rehabiliteringsutred- ningar. Uppgifter om fackligt medlemskap behöver behandlas bland annat för att arbetsgivaren ska kunna fullgöra sin förhandlingsskyldig- het enligt lagen (1976:580) om medbestämmande i arbetslivet. För arbetstagare inom den offentliga sektorn finns enligt lagen (1994:260) om offentlig anställning () en skyldighet att i vissa fall genomgå hälsoundersökningar. Inom den privata sektorn har arbetsgivarna stor frihet att bestämma vilka krav som ska ställas på den arbetssökande, till exempel angående medicinska kontroller. För alla arbetsgivare gäller arbetsmiljölagen (1977:1160) där arbetsgivaren har ett allmänt ansvar att se till att hälsoövervakning och medicinska kontroller som behövs görs. Många företag hanterar alltså känsliga personuppgifter som en direkt följd av den verksamhet som de bedriver eller i egenskap av arbetsgivare. Personuppgifter samlas in i allt större omfattning Uttrycket ”data är den nya oljan” myntades som ett sätt att beskriva det stora värdet av bearbetad och analyserad data. Digitala tjänster och innehåll finansieras till stor del av reklam. Verksamheter som ska omfattas av granskningssystemet Onlineannonsering blir alltmer individualiserad och skräddarsydd för specifika grupper eller individer. Data i form av alla typer av person- uppgifter samlas därför in och bearbetas i syfte att bland annat rikta annonsering och annat medieinnehåll till konsumenter på ett effektivt och lönsamt sätt. Många människor har också tillgång till sin smart- phone vilket har öppnat nya möjligheter för marknadsförare att fånga människors uppmärksamhet och påverka hur de agerar. Den ökade digitaliseringen har också medfört att det blir allt lättare att samla in och bearbeta personuppgifter. Personuppgifter i sociala medier och appar En stor del av insamlingen av personuppgifter görs genom sociala medier och appar. Hur människor agerar på till exempel Facebook, Instagram och Snapchat ger upphov till stora mängder data om deras relationer, intressen och geografiska positioner. Ett annat exempel är Googles sökmotor som till följd av alla de sökningar som görs där har genererat ett datakapital som utvecklats till Google Ads som är Googles annonseringstjänst och en av företagets viktigaste intäkts- källor. När det gäller appar eller registrering för olika tjänster på inter- net efterfrågas ofta uppgifter om exempelvis kön och bostadsort men också tillgång till användarens foton, kontaktlistor eller mikrofon. Många appar använder sig också av gps-lokalisering80. Det är vanligt att appar begär tillgång till gps-lokalisering när användaren registre- rar sig för användning, oavsett om lokaliseringen är nödvändig för appens funktion eller inte. Många appar använder sig av ansiktsigen- känning, det vill säga biometriska uppgifter. Datainsamlingen har gett upphov till en ny typ av företag Utveckling när det gäller marknadsföring i digitala kanaler har gett upphov till en bransch av företag vars affärsidé är att samla in så mycket information om människor som möjligt och analysera den. Exempel på sådana företag är Safegraph, Braze, Fluxloop, Unacast och Placer. Den norska konsumentorganisationen har i sin rapport of Control – How consumers are exploited by the online advertising industry, publicerad , redogjort för resultatet Verksamheter som ska omfattas av granskningssystemet av en teknisk analys av datatrafik från tio populära mobiltelefon- appar.81 Enligt rapporten visade analysen att apparna sammantagna överförde användardata till minst 135 olika tredje parter som är in- volverade i reklam eller beteendeprofilering. Android Advertising ID, som gör det möjligt för företag att spåra konsumenter över olika tjänster, överfördes till minst 70 olika tredje parter som är involverade i reklam eller profilering. Advertising ID överfördes ofta i kombi- nation med andra personuppgifter som gps-lokalisering och IP-adress. Alla appar delade användardata med flera tredje parter och alla utom en delade data utöver användarens Advertising ID, bland annat per- sonuppgifter som kön och ålder. Dejtingappen Grindr delade till exempel detaljerad användardata som IP-adress, Advertising ID, gps- lokalisering, ålder och kön. Vid denna datadelning var Twitters adtech- dotterbolag82 MoPub mellanhand och överförde personuppgifter till ett antal andra tredje parter inklusive adtech-företagen . Dejtingappen OkCupid delade uppgifter om sexualitet, droganvändning, politiska åsikter med mera med Braze. Googles reklamtjänst DoubleClick fick data från åtta av apparna, medan Face- book fick data från nio appar. Även om det ursprungliga syftet med att samla in och analysera information på detta sätt kan tyckas harmlöst – att leverera indivi- duellt anpassade eller mer användbara tjänster eller påverka männi- skors beteende i kommersiellt syfte – kan uppgifterna användas för kartläggning och påverkan. Insamlingen av data kan alltså ha poten- tiellt skadliga konsekvenser för människors integritet och autonomi. Uppgifter om var människor befinner sig kan användas för kartläggning Som framgått ovan kan uppgifter om var människor befinner sig sam- las in genom appar med hjälp av gps-mottagare i mobiltelefoner. Det står klart att sådan information samlas in inte bara när lokaliseringen är nödvändig för appens ändamål, som till exempel en träningsapp som registrerar löprundor eller andra appar som använder kartfunktioner, 81De appar vars trafik har analyserats är Clue, Grindr, Happn, : , My days, My talking Tom 2, OkCupid, Perfect 365, Tinder och Keyboard. 82Adtech står för advertising technology vilket omfattar olika tekniska lösningar och analys inom digital annonsering. 83AppNexus är ett amerikanskt multinationellt teknikföretag som driver en molnbaserad pro- gramvaruplattform som möjliggör och optimerar programmatisk online-annonsering. 84OpenX , ett teknikföretag som sysslar med programmatisk annonsering. Verksamheter som ska omfattas av granskningssystemet utan även när lokaliseringen inte behövs för att leverera den huvud- sakliga tjänsten. Platsinformation kan samlas in också genom anslut- ningar till och Bluetooth samt uppkopplingar mot tele- . Av framgår att uppgifter om gps- koordinater överfördes från de tio apparna till minst 23 olika tredje parter, varav några är så kallade location data brokers, det vill säga mäk- lare av lokaliseringsuppgifter. Uppgifter om var människor befinner sig förekommer alltså i stora mängder hos ett allt större antal företag. Uppgift om var en individ befinner sig betecknas i dataskyddsför- ordningen lokaliseringsuppgift. I den förordningen saknas definition av begreppet. En definition finns dock i lagen (2003:389) om elektronisk kommunikation. Där anges att lokaliseringsuppgift är en uppgift som behandlas i ett elektroniskt kommunikationsnät eller av en elektronisk kommunikationstjänst och som visar den geografiska positionen för terminalutrustningen för en användare. Definitionen återfinns i artikel 2 i direktivet om integritet och elektronisk kommunikation.85 En lokaliseringsuppgift är inte en känslig personuppgift i data- skyddsförordningens mening. I förarbetena till de svenska bestäm- melserna om lagring och tillgång till uppgifter om elektronisk kom- munikation i brottsbekämpande syfte, så kallad datalagring, uttalade regeringen dock att lokaliseringsuppgifter generellt sett är tämligen integritetskänsliga. Regeringen uttryckte att eftersom man kan dra mycket precisa slutsatser om personers geografiska förflyttningar och därmed om privatlivet för de personer vars uppgifter lagras, så är loka- liseringsuppgifter ett välanvänt och extremt värdefullt verktyg både i den vanliga brottsbekämpande verksamheten och i underrättelseverk- samheten.86 Eftersom lokaliseringsuppgifter gör det möjligt att kart- lägga en persons rörelse och alltså kan ge tämligen integritetskänslig information om en person ansåg regeringen att lagringstiden för sådana uppgifter skulle vara kortare än för andra uppgifter. Tillgång till lagrade lokaliseringsuppgifter får vidare ges bara för bekämpning av grov brottslighet som exempelvis narkotikabrott, barnpornografibrott, mord, terroristbrott och spioneri och bara beträffande personer som på något sätt kan vara inblandade i allvarlig brottslighet.87 85Europaparlamentets och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation). 2018/19:86 Datalagring vid brottsbekämpning – anpassningar till , s. 41. 87Se bland annat 2 § lagen (2012:278) om inhämtning av uppgifter om elektronisk kommu- nikation i de brottsbekämpande myndigheternas underrättelseverksamhet. Verksamheter som ska omfattas av granskningssystemet Datalagrade uppgifter får enligt 37 § förordningen (2003:396) om elektronisk kommunikation inte heller lagras utanför EU. I samband med att bestämmelsen infördes uppmärksammandes att lagring i ut- landet skulle kunna medföra risker för nationell säkerhet och reger- ingen uttalade att hantering, lagring eller andra åtgärder som ger aktörer utanför tillgång till uppgifterna i vissa fall kan vara direkt olämpliga ur säkerhetsskyddssynpunkt.88 Lokaliseringsuppgifter kan alltså användas för kartläggning av människor på ett sätt som kan vara till skada för säkerhet, allmän ordning eller allmän säkerhet. Det kan framhållas att lokali- seringsuppgifter som omfattas av bestämmelserna om datalagring anses så känsliga att de inte får lagras utanför EU på grund av risken för att uppgifterna kan komma i orätta händer. Vidare får sådana uppgifter lagras och lämnas ut till brottsbekäm- pande myndigheter bara om det är fråga om allvarligare brottslighet. Känsliga personuppgifter, det vill säga personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning, kan användas i syfte att kartlägga och påverka människor till skada för säkerhet, allmän ordning eller all- män säkerhet. Uppgifter om var människor befinner sig omfattas inte av begreppet känsliga personuppgifter i dataskyddsförordningen. Sådana uppgifter kan dock på samma sätt som känsliga personupp- gifter användas till skada för säkerhet, allmän ordning eller allmän säkerhet. Det finns alltså anledning att överväga om investe- ringar i verksamhet som behandlar känsliga personuppgifter eller loka- liseringsuppgifter bör omfattas av ett svenskt granskningssystem. Känsliga personuppgifter och lokaliseringsuppgifter behandlas av väldigt många verksamheter. Ett företag kan behöva behandla käns- liga personuppgifter inom ramen för företagets rättigheter och skyl- digheter i egenskap av arbetsgivare, för att teckna försäkringar för 2018/19:86 Datalagring vid brottsbekämpning – anpassningar till , s. 105 och prop. 2017/18:89 Ett modernt och stärkt skydd för säkerhet – ny säkerhets- skyddslag, s. 45. Verksamheter som ska omfattas av granskningssystemet anställda eller som ett led i andra arbetsrättsliga skyldigheter. Även lokaliseringsuppgifter kan behöva behandlas i ett företags löpande verksamhet. Det är till exempel vanligt att arbetsgivare utrustar bilar med speciell gps-utrustning som används för elektroniska körjour- naler. Den absoluta majoriteten av investeringar som ger tillgång till den här typen av känsliga personuppgifter eller lokaliseringsupp- gifter kommer att vara oproblematiska ur ett säkerhetsperspektiv. Det kommer i de allra flesta fall inte att vara fråga om sådana mäng- der av uppgifter som kan jämföras med vad som samlas in genom en app eller i ett företag vars huvudsakliga verksamhet är att just samla in eller på annat sätt behandla sådana uppgifter. I de allra flesta fall uppkommer riskerna med investeringar i verksamheter som ger till- gång till känsliga personuppgifter eller lokaliseringsuppgifter först när det är fråga om en stor mängd uppgifter. Vi bedömer att arbets- givare generellt inte hanterar sådana uppgifter i en sådan omfattning att tillgång till uppgifterna kan användas på ett sätt som är skadligt för säkerhet, allmän ordning eller allmän säkerhet. En första avgränsning av tillämpningsområdet för ett granskningssystem skulle mot den bakgrunden kunna vara att verksamheter som behandlar den typen av uppgifter bara i sin egenskap av arbetsgivare undantas.89 Ett sådant företag kan dock omfattas av granskningssystemet till följd av att verksamheten i sig är sådan att den omfattas – exempelvis sam- hällsviktig eller säkerhetskänslig verksamhet i övrigt. Även med en sådan avgränsning riskerar tillämpningsområdet emellertid att bli mer omfattande än vad som behövs för att riskerna med en investering ska kunna fångas upp i rimlig utsträckning. Granskningssystemet bör alltså ta sikte bara på verksamheter som behandlar stora mängder av de aktuella uppgifterna och inte omfatta verksamheter som behandlar uppgifterna bara i egenskap av arbets- givare. Det är rimligt att anta att vissa sådana verksamheter kommer att omfattas av våra förslag till följd av att de utgör säkerhetskänsliga eller samhällsviktiga verksamheter. Ett sådant exempel är verksam- heter som tillhandahåller molntjänster. Molntjänster tillhandahålls ofta av till exempel telekombolag som kan vara samhällsviktiga. Även hälso- och sjukvårdsföretag kan vara samhällsviktiga. Andra företag som behandlar stora mängder känsliga personuppgifter och lokali- seringsuppgifter kommer inte att utgöra samhällsviktig eller annan 89Jämför regleringen av sensitive data i det amerikanska systemet, där data om ett företags egna anställa som huvudregel inte betraktas som sensitive data. Verksamheter som ska omfattas av granskningssystemet verksamhet som omfattas av våra förslag i övrigt. Exempel på sådana verksamheter är datamäklare och företag som tillhandhåller appar som samlar in olika typer av uppgifter om användarna. Ett annat är hälso- och sjukvårdsföretag som till följd av journalföring behandlar känsliga personuppgifter men som inte är av sådan betydelse att de är samhällsviktiga. En lämplig avgränsning av granskningssystemets tillämpnings- område är att investeringar i företag vars huvudsakliga ändamål inne- fattar insamling eller annan behandling av känsliga personuppgifter eller lokaliseringsuppgifter ska omfattas. Genom en sådan avgränsning utelämnas i största möjliga utsträckning verksamheter som behand- lar uppgifterna bara i mindre omfattning eller endast i egenskap av arbetsgivare.