prop · H903203 · 2022-03-30 00:00:00 — Regeringens skrivelse 2021/22:203 Utvecklingen på it-området när det gäller integritet och ny teknik Regeringen överlämnar denna skrivelse till . I skrivelsen kommenterar regeringen slutsatser, iakttagelser och rekommendationer i rapporten – redovisning av utvecklingen på it-området när det gäller integritet och ny teknik (2021:1). Ärendet och dess beredning .............................................................. Allmänt om innehållet ........................................................ slutsatser och iakttagelser ................................................... Regeringens kommentarer med anledning av slutsatser, iakttagelser och En tydligare integritetsskyddspolitik .................................. Åtgärder för att främja fortsatt regelutveckling................ 3.4Privata och offentliga verksamheters Integritetsskyddsrapport – redovisning av utvecklingen på it-området när det gäller integritet och ny teknik (2021:1) ............................... Utdrag ur protokoll vid regeringssammanträde ....... Ärendet och dess beredning infördes en skyldighet för (före detta Datainspektionen) att lämna en redovisning till regeringen av utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik (1 § andra stycket förordningen [2007:975] med instruktion för ). Skyldigheten infördes mot bakgrund av det förslag som den parlamentariskt sammansatta lämnade i delbetänkandet Hur står det till med den personliga integriteten? (SOU 2016:41) om att det borde införas en ordning där regeringen i en årlig skrivelse till skulle informera om utvecklingen och det aktuella tillståndet när det gäller frågor som rör personlig integritet, informationsteknik och de legala förutsättningarna för integritetsskyddet. Kommittén var enig i den delen. överlämnade sin första redovisning till regeringen , Integritetsskyddsrapport (2021:1), se bilagan. Med denna skrivelse överlämnar regeringen till . I skrivelsen kommenterar regeringen även rapportens slutsatser, iakttagelser och rekommendationer. Vid framtagandet av rapporten har genomfört ett tiotal intervjuer med experter inom integritet, ny teknik, dataskydd och angränsande områden. Slutsatserna från intervjuerna har, tillsammans med myndighetens egna bedömningar och erfarenheter, legat till grund för rapportens övergripande inriktning och urvalet av fokusområden. Materialet i rapporten bygger primärt på omvärldsbevakning där bland annat olika redovisningar av regeringsuppdrag, forskningsprojekt, rapporter från konsultföretag och nyhetsartiklar ingår, liksom på slutsatser från rapporter och beslut som eller andra dataskyddsmyndigheter tidigare publicerat samt på erfarenhet hos myndighetens specialister. En viktig informationskälla har också varit externa möten och samverkan som myndigheten löpande har med andra myndigheter och organisationer. Även i utformningen av rapportens slutsatser och rekommendationer har dialog förts med vissa till nära samverkansparter. redogör i det som beskrivs som kärnan i rapporten för utvecklingen när det gäller digitalisering och ny teknik. I rapporten beskrivs bland annat sexton olika teknikområden som påverkar den personliga integriteten. Många av dessa områden utvecklas exponentiellt, vilket förenklat innebär att kapaciteten fördubblas . Utöver beskrivningen av digitaliseringen och ny teknik redogör i rapporten för hur bra 2021/22:203 integritetsskyddet kan sägas vara och för pågående forskningsinitiativ inom området. I rapporten redogör myndigheten också för sina viktigaste slutsatser och rekommendationer. 2.2Integritetsskyddsmyndighetens övergripande slutsatser och iakttagelser I rapporten redovisar övergripande slutsatser och iakttagelser, vilka sedan ligger till grund för de rekommendationer som rapporten utmynnar i. Att teknikutvecklingen går snabbt är en helt avgörande utgångspunkt som enligt myndigheten behöver ligga till grund för alla efterföljande, mer detaljerade slutsatser och rekommendationer. Myndigheten konstaterar att det finns en mängd svåra och angelägna frågor i dataskyddsarbetet. Många organisationer uppvisar fortfarande brister i de grundläggande skyldigheter som följer av EU:s dataskyddsförordning1. Att tolka och tillämpa regelverket innebär utmaningar för företag och andra verksamheter, dataskyddsombud och andra som arbetar praktiskt med dataskydd samt för dataskyddsmyndigheterna runt om i . konstaterar vidare att med exponentiell teknikutveckling följer också exponentiellt ökade integritetsrisker, om inte riskreducerande åtgärder vidtas. sammanfattar sina slutsatser under följande rubriker. 1.De flesta känner till att allt vi gör på nätet lämnar spår – men ny teknik tar datainsamlingen på nätet till nya dimensioner 2.Med Internet of things flyttar spårningen på nätet ut i städer och hem 3.Insamling av biometrisk data ökar 4.Höga ambitioner när det gäller datadriven innovation behöver kombineras med kraftfulla åtgärder för att stärka integritet och säkerhet Givet den exponentiella teknikutvecklingen och för att nå regeringens vision om en hållbar digitalisering, är det enligt angeläget att politiska åtgärder för att stärka datadriven utveckling, innovation och användningen av artificiell intelligens, AI, kompletteras med konkreta mål och åtgärder för att stärka skyddet för medborgarnas integritet. Särskilt angeläget är det att arbetet med att 1 och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän digitalisera den offentliga förvaltningen matchas med handfasta åtgärder Skr. 2021/22:203 för att värna enskilda medborgares rättigheter. förtroendet för hur offentlig sektor hanterar deras data riskerar tilliten till samhället i stort att påverkas negativt. lämnar mot den bakgrunden följande rekommendationer. konstaterar att regeringen har gjort ambitiösa satsningar för att främja användandet av öppna data, AI-tillämpning och datadriven innovation i såväl privat som offentlig sektor. Vidare har satsningar gjorts inom informations- och cybersäkerhetsområdena. Enligt behöver dessa delar av politiken kompletteras med lika konkreta mål och åtgärder för att stärka skyddet för medborgarnas integritet. Myndighetens bedömning är därför att behöver en tydligare integritetsskyddspolitik. Med detta menas enligt myndigheten ett väl definierat politikområde som konkretiserar mål och åtgärder för att i den pågående digitaliseringen säkerställa människors rätt till privatliv och rätten till självbestämmande i samband med behandling av personuppgifter. En tydlig integritetsskyddspolitik behöver enligt innehålla konkreta mål och åtgärder. En riskbaserad ansats bör vara utgångspunkten för arbetet och det bör framgå av den politiska inriktningen hur avser att minska riskerna kring områden som till exempel AI och biometri där integritetsriskerna är särskilt stora. Det kan enligt myndigheten också finnas anledning att särskilt utreda i vilken mån och på vilket sätt den offentliga förvaltningen bör nyttja denna typ av högriskteknik. anser att det är en god ordning att styrningen av myndigheten sker från , men att det är angeläget att en integritetsskyddspolitik integreras med andra politikområden, inte minst digitaliseringspolitiken. Integritetsskyddspolitiken behöver också integreras i regeringens satsningar på informationssäkerhet och cybersäkerhet. Sammantaget ställer en integritetsskyddspolitik krav på nära samverkan inom olika delar av , inte minst eftersom viktiga beröringspunkter också finns med till exempel konsument- och konkurrensfrågor. En central del av integritetsskyddspolitik bör enligt vara offensiva investeringar för att stimulera forskning och utveckling av teknik som skyddar människors rätt till personlig integritet. bedömning är vidare att integritetsskyddspolitiska mål och aktiviteter bör integreras med det nationella arbetet med informations- och cybersäkerhet, förslagsvis genom att regeringen kompletterar den nationella strategin för samhällets informations- och cybersäkerhet med mål och åtgärder som avser dataskydd. Vidta åtgärder för att främja fortsatt regelutveckling konstaterar att den regulatoriska utvecklingen i huvudsak är EU-gemensam, varför det är centralt att tar en aktiv roll i det EU-gemensamma arbetet. En annan central del i att främja den fortsatta regelutvecklingen handlar om att säkerställa att ny lagstiftning är förenlig med dataskyddsregleringen. Regeringen bör enligt vid framtagande av utredningsdirektiv alltid överväga om det bör framgå särskilt att en integritetsanalys ska genomföras. Myndigheten föreslår att den vägledning för kommittéväsendet kring att genomföra integritetsanalyser som myndigheten tagit fram införlivas i kommittéhandboken, för att underlätta för kommittéväsendet att säkerställa att lagförslag är förenliga med dataskyddsregelverket. En tredje aspekt för att främja fortsatt regelutveckling handlar om att öka kunskapen om dataskyddsregleringen hos innovationsaktörer, det vill säga organisationer, människor och nätverk som driver skapande, spridning och innovativ exploatering av ny teknik. Det kan handla om till exempel forskningsfinansiärer, inkubatorer, science parks och projekt inom strategiska innovationsprogram. Syftet är att öka förmågan att ansvarsfullt bedriva datadriven innovation och teknikutveckling. Regeringen bör överväga att skapa förutsättningar för och Verket för innovationssystem () att genomföra riktade insatser för att höja kunskapen hos privata och offentliga aktörer i det svenska innovationssystemet med avseende på integritets- och dataskyddsfrågor. Genom att skapa former som medger en dialog mellan och innovationsaktörer tidigt i innovationsprocessen ökar också myndighetens kunskap om teknikutveckling och praktiska utmaningar och lösningar när dataskyddsregelverket appliceras på ny teknik, vilket gör att myndigheten kan ge mer riktat stöd och vägledning till fler aktörer. anser att regeringen i förlängningen bör överväga att skapa förutsättningar för myndigheten att driva regulatorisk testverksamhet. Inom flera länder i pågår försöksverksamhet med regulatorisk testverksamhet där dataskyddsmyndigheten ger en mer fördjupad vägledning till utvalda innovationsprojekt. Regeringen bör noga följa hur till exempel det norska försöket med en regulatorisk testbädd utvecklas. Privata och offentliga verksamheter behöver fortsätta sitt grundläggande dataskyddsarbete Inom ramen för en samlad integritetsskyddspolitik bör regeringen enligt vidta åtgärder för att säkerställa att privata och offentliga verksamheter fortsätter att förbättra sitt grundläggande dataskyddsarbete. Många företag och myndigheter driver ett ambitiöst dataskyddsarbete. visar de cirka 500 ärenden med sanktionsavgifter som beslutats av tillsynsmyndigheterna inom EU att merparten av överträdelser rör grundläggande skyldigheter. Data behandlas på ett sätt som strider mot dataskyddsförordningens grundläggande principer, utan rättslig grund eller med bristfälliga Sammanfattningsvis visar sanktionsavgifterna att Skr. 2021/22:203 lägstanivån i dataskyddsarbetet fortfarande behöver höjas. Regeringen bör vidare säkerställa uppföljning av hur arbetet med dataskydd utvecklas i den offentliga förvaltningen. Uppföljning skulle till exempel kunna ske inom ramen för den struktur för uppföljning av det systematiska informationssäkerhetsarbetet som Myndigheten för samhällsskydd och beredskap (MSB) har regeringens uppdrag att ta fram, alternativt genom särskilda återrapporteringskrav i myndigheters regleringsbrev. 3Regeringens kommentarer med anledning av slutsatser, iakttagelser och rekommendationer Regeringen instämmer med i att satsningar på digital innovation måste kombineras med insatser för att värna den personliga integriteten om den digitala utvecklingen ska vara hållbar. Regeringen välkomnar därför , som på ett gediget sätt redogör för utmaningarna, men också den stora potentialen som den tekniska utvecklingen innebär. Rapportens kvalitet och omfattning gör den till en viktig informationskälla och ett värdefullt verktyg, både för regeringen och för andra aktörer i arbetet med frågor som rör integritet och ny teknik. Regeringen siktar på att ska bli världsledande inom användning av data och AI inom välfärden och ekonomin i stort och ser till exempel positivt på reglering som stödjer möjligheterna att använda AI, under förutsättning att regleringen bland annat upprätthåller skyddet i fråga om behandling av personuppgifter. Som konstaterar bedrivs ett ambitiöst arbete hos såväl offentliga som privata aktörer gällande integritetsfrågor och för att säkerställa att verksamheter bedrivs på ett sätt som är förenligt med kraven enligt dataskyddsregleringen. Fortsatta insatser krävs för att hantera såväl de risker som möjligheter som följer med den tekniska utvecklingen. Regeringen delar uppfattningen att som de nya regelverken innebär att det rättsliga skyddet för den personliga integriteten är starkare än tidigare, så medför teknikutvecklingen att även hot och risker för den personliga integriteten är mer omfattande, långtgående och potentiellt allvarligare . Regeringens bedömning: Regeringen bedömer att inrättandet av ett särskilt definierat område för integritetsskyddsfrågor inte är det mest relevanta och effektiva sättet att säkerställa att frågorna får så stort genomslag som möjligt. Regeringen ser det som angeläget att integritets- och dataskyddsaspekter uppmärksammas inom i princip alla områden. Regeringen instämmer i att enskilda individers rättigheter och möjligheter att kontrollera sina data bör förbättras. Det behövs fortsatt arbete för att stärka samhällets hantering av informations- och cybersäkerhetshot. Det kan finnas behov av att se över och uppdatera den nationella strategin för samhällets informations- och cybersäkerhet. Skälen för regeringens bedömning: Regeringen delar uppfattning att det är viktigt att det finns tydliga mål och åtgärder vad gäller integritetsskyddsfrågor. Integritets- och dataskyddsaspekter är centrala och måste genomsyra alla relevanta processer inom ramen för flera områden. Inte minst gäller detta, som påpekar, digitaliseringspolitiken, men också till exempel det pågående arbetet med att förstärka informations- och cybersäkerhet. Regeringen delar uppfattningen att dataskyddsarbetet behöver ske integrerat med digitaliserings-, informations- och cybersäkerhetsarbetet och att dessa frågor i högre grad behöver ses som strategiska verksamhetsfrågor. spänner frågor som rör skyddet för den personliga integriteten över ett brett område och är på så sätt horisontella till sin natur. Regeringens bedömning är att inrättandet av ett särskilt definierat område, av myndigheten kallat politikområde, för integritetsskyddsfrågor inte är det mest relevanta och effektiva sättet att säkerställa att frågorna får så stort genomslag som möjligt. Integritets- och dataskyddsaspekter behöver uppmärksammas inom i princip alla områden och regeringen ser det som angeläget att de lyfts in tidigt i processer samt att arbetssätt och kompetens utvecklas inom varje område. Vad gäller de mål och åtgärder som föreslår avser regeringen att noga följa utvecklingen och beakta rekommendationerna i det prioriterade arbetet med integritetsskyddsfrågor som bedrivs inom de områden som berörs. Regeringen delar vidare uppfattningen att satsningar på forskning och utveckling innebär en möjlighet att stimulera innovativa tekniklösningar som skyddar mänskliga rättigheter, skapar ett säkrare samhälle och bidrar till svensk konkurrenskraft. ska vara ett av världens främsta forsknings- och innovationsländer, där högkvalitativ forskning och innovation leder till samhällets utveckling och välfärd och ökar näringslivets konkurrenskraft. Regeringen instämmer även i bedömning att enskilda individers rättigheter och möjligheter att kontrollera sina data bör förbättras. redovisades det myndighetsgemensamma (Arbetsförmedlingen, , Myndigheten för digital förvaltning och ) uppdraget att undersöka förutsättningarna för hur individens möjligheter till insyn och kontroll över de data om individen som finns hos offentlig sektor, och i förlängningen även de data om individen som finns hos privat sektor, kan öka (I2021/01639). I syfte att försöka flytta fram den svenska positionen när det gäller individens ökade möjligheter till insyn och kontroll över personliga data presenterades bland annat en modell som visar hur ett förvaltningsgemensamt dataekosystem skulle kunna utformas. Den visar hur framtidens dataflöden, under kontroll och insyn av individen, skulle kunna bidra till ökad effektivitet, individcentrering och innovation. Frågan bereds inom . beslutade regeringen om en nationell datastrategi, som har till syfte att stärka välfärden, konkurrenskraften och ett hållbart samhälle (I2021/02739). Den nationella datastrategin och tillhörande regeringsuppdrag ska främja aktiva medverkan i genomförandet av den europeiska datastrategin, med målet om en inre marknad för data till 2030 genom inrättande av gemensamma europeiska dataområden. Sex insatsområden lägger grunden för ett långsiktigt arbete där både offentliga och privata aktörer stegvis ska bli allt bättre på att dela data på ett öppet, säkert och kontrollerat sätt. Strategin omfattar inte data eller så kallade aggregerade data med bäring på allmän säkerhet, försvar eller säkerhet, och således innebär strategin inte något krav på att dela sådana data. Som en del i strategin har Myndigheten för digital förvaltning fått i uppdrag att stötta myndigheterna i att bli bättre på delning och nyttiggörande av data och de ska dessutom främja samverkan med privata aktörer genom att upprätta en digital arena (I2021/01826). Den digitala arenan ska möjliggöra bland annat ett ökat gemensamt lärande kring frågor om data som strategisk resurs. Parallellt ska regeringen utveckla en förmåga att följa upp tillgången till och användningen av data för att kunna utveckla relevant styrning och policy på området. Regeringens uppfattning är att fortsatt arbete behövs för att stärka samhällets hantering av informations- och cybersäkerhetshot. Säkerhetsfrågor står högt på regeringens agenda och regeringen har tagit fram omfattande ny reglering på säkerhetsskyddsområdet som både moderniserat och förstärkt regelverket. Ett systematiskt och fungerande informations- och cybersäkerhetsarbete bidrar till att stärka integritets- och dataskyddet. Etableringen av och arbetet med att vidareutveckla det nationella cybersäkerhetscentret är en av de mest centrala åtgärderna för att stärka samlade förmåga att förebygga, upptäcka och hantera antagonistiska cyberhot på informations- och cybersäkerhetsområdet. är det viktigt att inte bara fokusera på antagonistiska hot utan att även ha ett allriskperspektiv som inkluderar bland annat handhavandefel, naturfenomen och systemfel. Därför bedriver bland annat MSB ett brett arbete med att stärka samhällets informations- och cybersäkerhet för att förebygga och hantera it-incidenter, där en viktig del är att sprida råd och stöd i syfte att förebygga sådana. Den nationella strategin för samhällets informations- och cybersäkerhet antogs . Regeringen instämmer med i att det kan finnas behov av att se över och uppdatera strategin och i det arbetet överväga de förslag som lämnar, i syfte att integrera dataskyddsfrågor i arbetet med informations- och cybersäkerhetsfrågor. Åtgärder för att främja fortsatt regelutveckling Regeringens bedömning: Åtgärder som kan främja fortsatt regelutveckling är centrala. för kommittéväsendet om genomförande av integritetsanalyser kommer att vara ett användbart verktyg i kommittéväsendets arbete. Test- och experimentmiljöer, inklusive så kallad regulatorisk test- verksamhet, kan vara viktiga bland annat för utvecklingen av tillförlitlig AI och annan ny teknik. Regeringen avser att fortsatt följa utvecklingen Skälen för regeringens bedömning: Regeringen instämmer med om vikten av att fortsatt regelutveckling främjas och delar i stort beskrivningen i den delen. På flera av de områden där åtgärder föreslås bedrivs också ett aktivt arbete. exempelvis med om värdet av att tar en aktiv roll i det EU-gemensamma arbetet, inklusive vid genomförandet av den europeiska datastrategin. också i att en annan central del i att främja den fortsatta regelutvecklingen är att säkerställa att ny lagstiftning är förenlig med dataskyddsregleringen och ser positivt på åtgärder som kan bidra till detta. läggs betydande arbetsinsatser på att säkerställa att skyddet för personuppgifter upprätthålls i ny lagstiftning. I (Ds 2000:1) finns ett avsnitt om riktlinjer för analyser av konsekvenser för den personliga integriteten. skyddsmyndigheten har föreslagit att den vägledning för kommitté- väsendet kring att genomföra integritetsanalyser som myndigheten uppdaterar ska införlivas i . Huruvida det är en möjlig eller lämplig lösning får övervägas, till exempel i samband med den översyn som planeras av handboken. omständigheter kommer vägledning att utgöra ett bra komplement till handboken och vara ett användbart verktyg för kommittéväsendet i arbetet med integritetsanalyser. Med regulatorisk testverksamhet avses verksamhet med experiment eller försök, avgränsade och rum, med syfte att utveckla teknik och Test- och experimentmiljöer, däribland så kallade regulatoriska sandlådor eller växthus, kan enligt regeringen vara viktiga bland annat för utvecklingen av tillförlitlig AI och annan ny teknik. att bredda samverkan, förstå den snabba tekniska utvecklingen, göra försök i verkliga miljöer samt införa förändringar i mindre steg höjs kunskapsnivån, och teknikutvecklingens möjligheter kan tas tillvara parallellt med att riskerna hanteras. regulatoriska sandlådor förknippad med ett flertal frågor om ansvar och säkerhet som noga måste övervägas. Regeringen avser att fortsatt följa utvecklingen på området. Bland de åtgärder som vidtagits på området kan här särskilt nämnas att regeringen uppdrog åt Arbetsförmedlingen, Bolagsver- ket, Myndigheten för digital förvaltning och att främja offent- lig förvaltnings förmåga att använda AI i syfte att stärka välfärd och konkurrenskraft (I2021/01825). Uppdraget består av flera delar som ska leda till att offentlig förvaltning får fler gemensamma verktyg för att Vid behov ska myndigheterna initiera eller delta i testbäddar Skr. 2021/22:203 och regulatoriska sandlådor. gavs vidare en särskild ut- redare i uppdrag att främja försöksverksamhet i kommuner och regioner (dir 2021:110). Det kan exempelvis handla om nya sätt att samverka på eller hur ny teknik kan användas. Utredaren ska bland annat identifiera uppslag till försöksverksamheter samt bedöma om och i så fall hur staten bör främja och stödja försöksverksamheterna. En delredovisning ska lämnas . Uppdraget ska slutredovisas . 3.4Privata och offentliga verksamheters dataskyddsarbete Regeringens bedömning: Det är angeläget att verksamheter i privat och offentlig sektor fortsätter att förbättra sitt grundläggande dataskyddsarbete. Digital teknik och data bidrar till att lösa samhällsutmaningar och är avgörande för näringslivets konkurrenskraft. måste tekniken nyttjas på ett ansvarsfullt sätt och regelverk följas. Det är också viktigt att säkerställa uppföljning av hur arbetet med dataskydd utvecklas i den offentliga förvaltningen. Skälen för regeringens bedömning: Regeringen instämmer i vikten av att verksamheter i privat och offentlig sektor fortsätter att förbättra sitt grundläggande dataskyddsarbete. Inom ramen för det ovan nämnda myndighetsgemensamma uppdraget att främja offentlig förvaltnings förmåga att använda AI ska myndigheterna bland annat ta fram en guide för offentlig förvaltning. Guiden ska beskriva de steg en verksamhet behöver ta för att framgångsrikt kunna använda sig av AI. I guiden ska det till exempel framgå hur data ska struktureras och tillgängliggöras.