prop · H903203 · 2022-03-30 00:00:00 — Sammanfattningsvis kan utvecklingen beskrivas som att den omfattande insamling av data som sker på nätet –som de flesta i någon mån känner till och som blivit en del av vår digitala vardag – nu flyttar ut i den fysiska världen där den blir än svårare att upptäcka, kontrollera och avskärma sig från. Om inte riskreducerande åtgärder vidtas är sannolikheten stor att de brister och risker som finns på nätet också kommer att genomsyra våra smarta hem och städer. En negativ utveckling med bristande integritetsskydd blir allt svårare att bromsa och läka i efterhand och medför också risker med avseende på informations- och cybersäkerhet. 1.2.3 Insamling av biometrisk data ökar Parallellt med att IoT och utvecklade nät genom 5G är på väg att få ett bredare genomslag ökar insamlingen av biometriska uppgifter. Data om våra fysiska egenskaper –som exempelvis hand- och fingeravtryck, ansikts-, röst- och taligenkänning eller DNA – kompletteras i allt större utsträckning med beteendebaserade uppgifter som gångstil, rörelse- och talmönster, handstil, ansiktsuttryck och sömnmönster. Användning av biometriska uppgifter kan bidra till ökad bekvämlighet, snabbhet och säkerhet inom en rad samhällsområden och blir allt vanligare bland annat inom offentlig förvaltning, bank- och finans samt hälso- och sjukvården. Ett konkret exempel är hur ny teknik för interaktion mellan människor och datorer fått många mobiltelefonanvändare att överge säkerhetskoder till förmån för identifiering med fingeravtryck eller ansiktsigenkänning. Röststyrningen slår också igenom allt mer och de digitala assistenterna blir allt smartare. För den enskilde individen finns dock en rad inneboende risker som handlar om att biometriska uppgifter kan manipuleras eller användas för andra syften, till exempel identitetsstöld, intrång, utpressning eller bedrägerier. Precis som för andra typer av data finns också en risk för ändamålsglidning, det vill säga att uppgifterna används för andra syften än de ursprungligen samlades in för. Biometriska uppgifter aktualiserar också särskilda risker kopplat till bristande transparens. Att utöva sina grundläggande rättigheter kan vara svårt om den enskilde individen inte förstår att en viss typ av uppgifter utgör personuppgifter – vilket för många sannolikt inte är uppenbart när det gäller teknik som bygger på vitt skilda biometriska egenskaper och beteenden och som utvecklas i snabb takt. Ur ett integritetsskyddsperspektiv är den mest oroväckande egenskapen hos biometriska personuppgifter att de inte enkelt kan ändras eller ersättas om de går förlorade. Ett lösenord eller passerkort kan ersättas med ett nytt om det skulle gå förlorat. Om individen förlorar kontrollen över sina biometriska personuppgifter kan de däremot inte ersättas. Integritetsskadorna kan i värsta fall bli permanenta, vilket gör integritetsfrågor kring biometri särskilt angelägna. 1.2.4Höga ambitioner när det gäller datadriven innovation behöver kombineras med kraftfulla åtgärder för att stärka integritet och säkerhet Som beskrivits ovan har en ambitiös digitaliseringspolitik där en rad konkreta politiska initiativ vidtagits för att främja datadriven innovation. Genom bland annat ett antal uppdrag till olika myndigheter har regeringen verkat för att främja användningen av AI och användandet av data som strategisk resurs. Ett antal konkreta steg har också vidtagits för att främja digitaliseringen av offentlig sektor. När det gäller åtgärder för att minska riskerna med digitaliseringen, hantera frågor om etik och säkerhet och säkerställa skyddet för enskildas rättigheter, har arbetet inte fått lika konkreta former i . Viktiga satsningar har skett inom informations- och cybersäkerhetsområdena – områden som har många beröringspunkter med dataskydd – vilket är positivt. Däremot saknas konkreta mål och åtgärder i stor utsträckning för integritets- och dataskyddet. Utvecklingsmässigt finns ett viktigt momentum , innan det bredare genombrottet skett för bland annat AI och IoT och insamlingen av biometriska uppgifter ökat ytterligare. Den snabba utvecklingen av den digitala annonsindustrin och handel med data på nätet visar att när en omfattande datainsamling väl implementerats i verksamhets- eller affärsmodellen är de ekonomiska kostnaderna höga och incitamenten ofta starka för att inte dra tillbaka dem. Den exponentiella utvecklingen behöver därför kombineras med konkreta och kraftfulla åtgärder för att nu säkerställa integriteteten och säkerhetsaspekterna i utvecklingen. Givet den exponentiella teknikutvecklingen och för att nå regeringens vision om en hållbar digitalisering, är det angeläget att politiska åtgärder för att stärka datadriven utveckling, innovation och användningen av AI kompletteras med konkreta mål och åtgärder för att stärka skyddet för medborgarnas integritet. Särskilt angeläget är det att arbetet med att digitalisera den offentliga förvaltningen matchas med handfasta åtgärder för att värna enskilda medborgares rättigheter. Tappar medborgarna förtroendet för hur offentlig sektor hanterar deras data riskerar tilliten till samhället i stort att påverkas negativt. Mot denna bakgrund lämnar följande rekommendationer. 1.3.1Sverige behöver en integritetsskyddspolitik Den stora potentialen i den fjärde industriella revolutionen handlar om att förädla och använda data som strategisk resurs. Genom datadriven utveckling kan och EU bättre möta samhällsutmaningar till exempel i form av miljö- och klimatåtgärder och utveckla en mer kvalitativ och effektiv välfärd. De stora datamängderna skapar också tillväxt för företag och nya digitala produkter och tjänster skapar värde för medborgare. Regeringen har gjort ambitiösa satsningar för att främja användandet av öppna data, AI-tillämpning och datadriven innovation i såväl privat som offentlig sektor. Regeringen har också gjort flera satsningar inom informations- och cybersäkerhetsområdena, vilket är positivt. behöver dessa delar av politiken kompletteras med lika konkreta mål och åtgärder för att säkerställa att utvecklingen är hållbar ur ett integritetsperspektiv, att vi inte bygger in oss i en storskalig insamling och användning av data som är oetisk, olaglig eller på ett allvarligt sätt inskränker kommande generationers mänskliga rättigheter. IMY:s bedömning är att behöver en tydligare integritetsskyddspolitik. Med detta menar vi ett väl definierat politikområde som konkretiserar mål och åtgärder för att i den pågående digitaliseringen säkerställa människors rätt till privatliv och rätten till självbestämmande i samband med behandling av personuppgifter. En tydlig integritetsskyddspolitik behöver innehålla konkreta mål och åtgärder. En riskbaserad ansats bör vara utgångspunkten för arbetet och det bör framgå av den politiska inriktningen hur avser att minska riskerna kring teknikutvecklingsområden som till exempel AI, IoT och biometri där integritetsriskerna är särskilt stora. Det kan möjligen också finnas anledning att särskilt utreda i vilken mån och på vilket sätt den offentliga förvaltningen bör nyttja denna typ av högriskteknik. Även om integritets- och dataskyddsfrågor finns i alla samhällssektorer är det angeläget att ansvaret för integritetsskyddspolitiken har en tydlig hemvist inom regeringen och . sker styrningen av från . Givet integritetsskyddsfrågornas starka inslag av mänskliga rättigheter och det praktiska dataskyddsarbetets stora inslag av rättsutveckling anser vi att det är en god ordning. För att inte gapet mellan teknik- och rättsutveckling ska öka ytterligare är det dock angeläget att utformningen av en integritetsskyddspolitik integreras nära med andra politikområden, inte minst digitaliseringspolitiken. De forum och strukturer som regeringen skapat för att driva digitaliseringspolitiken (som till exempel ) har därmed en roll att fylla även i utformningen av en integritetsskyddspolitik. Integritetsskyddspolitiken behöver också integreras i regeringens satsningar på informationssäkerhet- och cybersäkerhet. Sammantaget ställer en integritetsskyddspolitik krav på nära samverkan inom olika delar av , inte minst eftersom viktiga beröringspunkter också finns med till exempel konsument- och konkurrensfrågor. 1.3.1.1Satsningar på integritetsskyddsteknik för tillväxt och konkurrenskraft Lika mycket som exponentiella teknologier rymmer integritetsrisker är teknisk utveckling och innovation helt central för att utveckla morgondagens integritetsskydd. En central del av integritetsskyddspolitik bör därför vara offensiva investeringar för att stimulera forskning och utveckling av teknik som skyddar människors rätt till personlig integritet. har ett antal forskningsinitiativ startats med inriktning på integritetsskyddande teknik, men behoven är fortsatt stora. Det kan till exempel handla om att utveckla metoder för att göra träning och tillämpning av AI-algoritmer mer integritetsvänlig, att utveckla lösningar för att säkerställa att AI-teknik inte diskriminerar enskilda individer, att öka säkerheten i molntjänster och IoT samt fortsätta utveckla AI- baserad säkerhetsteknik eller anonymiserings- och krypteringslösningar. Tvärvetenskapliga ansatser behövs då utveckling, säkerhet, dataskydd och integritet ofta drivs av olika professioner och en långsiktigt hållbar utveckling kräver breda ansatser. Dataskyddsförordningen har genom kraven på inbyggt dataskydd och dataskydd som standard lagt en god grund. Givet de enhetliga kraven i EU – och hur allt fler länder även utanför anpassar sig till de europeiska dataskyddsreglerna – finns här goda tillväxtmöjligheter och en tydlig nisch där med sin starka it- och telekom-bransch har goda förutsättningar att bli världsledande. Genom satsningar på forskning och utveckling har regeringen möjlighet att stimulera innovativa tekniklösningar som skyddar mänskliga rättigheter och bidrar till svensk konkurrenskraft. 1.3.1.2Stärk enskilda individers rättigheter och möjlighet att kontrollera den egna datan Regeringen har i budgetpropositionen aviserat ambitionen att ta fram en nationell datastrategi. Strategin är ett viktigt tillfälle för regeringen att konkretisera mål och åtgärder för att stärka enskilda individers rättigheter och möjligheter att kontrollera den egna datan – både i förhållande till myndigheter och i privat sektor. Det kan till exempel handla om åtgärder för att främja utvecklingen av appar eller andra verktyg som gör det enklare för människor att själva kontrollera och bestämma hur deras data används. är i sin linda, men i pågår forskning vid till exempel , och . Regeringen bör i framtagandet av datastrategin dra nytta av den forskning som finns på området i och kan också ta stöd i det arbete som kommissionen gör på området. För att behålla medborgarnas tillit är det centralt hur offentlig sektor hanterar medborgarnas data. Regeringen uppdrog åt Arbetsförmedlingen, , Myndigheten för digital förvaltning och att genomföra en omvärldsanalys och ta fram ett koncepttest som visar hur individens möjligheter till insyn och kontroll över de data om individen som finns hos offentlig sektor, och i förlängningen även de data om individen som finns hos privat sektor, kan öka. Uppdraget ska redovisas . ser positivt på uppdraget och bedömer att det sannolikt behöver åtföljas av fler uppföljande uppdrag eller utredningar för att stärka enskilda individers möjligheter att kontrollera den egna datan. Som ett led i att stärka enskilda individers rättigheter kommer att utifrån inkomna klagomål börja återkoppla de brister som klagomålen gör gällande till de företag, myndigheter och andra organisationer som klagomålen riktar sig mot. Vi kommer också att inleda fler tillsyner än tidigare baserat på klagomål. Vår bedömning är att detta förändrade arbetssätt kan ge signaler om förbättringsbehov och bidra till lärande i såväl granskade som andra verksamheter. På det sättet verkar vi för ett tryggt informationssamhälle. 1.3.1.3Integrera dataskydd i pågående arbete med att förstärka informations- och cybersäkerhet Både nationellt och på EU-nivå har en rad insatser vidtagits för att höja informations- och cybersäkerhet. bedömer ansvariga myndigheter på området att det behövs kraftfulla åtgärder för att fortsätta höja grundnivån av informations- och cybersäkerhet i samhället. Dataskydd, informations- och cybersäkerhet – och i förekommande fall säkerhetsskydd –kräver i stor utsträckning samma typ av kontinuerligt och systematiskt arbete, där hot, sårbarheter och risker ur olika perspektiv analyseras löpande och ligger till grund för att utforma, genomföra och följa upp åtgärder. Tillsammans är de olika perspektiven länkar i en större kedja som minskar risker för människors säkerhet och grundläggande fri- och rättigheter och skyddar såväl företag och andra verksamheters tillgångar som samhällets funktionalitet och robusthet. Eftersom stora mängder uppgifter om andra länders medborgare kan vara ett reellt geopolitiskt maktmedel är ett effektivt dataskydd också en central komponent även i skyddet av säkerhet. IMY:s bedömning är att integritetsskyddspolitiska mål och aktiviteter bör integreras med det nationella arbetet med informations- och cybersäkerhet. Mer konkret kan detta ske till exempel genom att regeringen kompletterar den nationella strategin för samhällets informations- och cybersäkerhet med mål och åtgärder som avser dataskydd. I nästa steg bör även handlingsplanen som hör till strategin och uppdraget till de myndigheter som ansvarar för att genomföra handlingsplanen ses över. Det befintliga samarbetet mellan , Myndigheten för samhällsskydd och beredskap, MSB, och övriga myndigheter som ansvarar för åtgärder i den nationella handlingsplanen bör också förstärkas. Såväl Säkerhetspolisen som försvarsmyndigheter har uttalat att utvecklingen av 5G och IoT kommer att ha betydelse för svensk säkerhet . Säkerhetsskyddslagstiftningen har också uppdaterats för att omfatta fler både privata och offentliga verksamheter. Bland annat Försvarsberedningens rapporter och regeringens nationella säkerhetsstrategi betonar att hela samhället behöver engageras i arbetet med samhällets informations- och cybersäkerhet. Dilemmat är att det är många aktörer i samhället som inte omfattas av regelverken på området. Eftersom dataskyddsregleringen gäller för alla verksamheter som hanterar personuppgifter kan dataskyddsarbetet sägas utgöra en plattform för en stark informations- och cybersäkerhet i . Det praktiska dataskyddsarbetet förutsätter att varje organisation har god kontroll på sina informationsmängder, gör systematiska risk- och konsekvensanalyser och vidtar löpande åtgärder för att höja säkerheten kring informationen. i dataskyddsarbetet förbättras därmed även förmåga att stå emot riktade cyberangrepp och minska riskerna för olyckor eller handhavandefel. Skyddet för mänskliga rättigheter värnas som digitala suveränitet förstärks. 1.3.2Vidta åtgärder för att främja fortsatt regelutveckling Dataskyddsförordningen bygger på ett antal grundläggande principer och omfattar ny teknik i takt med att tekniken utvecklas. I sin tvåårsutvärdering av förordningen har pekat på en central utmaning som handlar om att klargöra hur de grundläggande principerna ska tillämpas på ny teknik, såsom AI, IoT eller ansiktsigenkänning. Den regulatoriska utvecklingen är i huvudsak EU-gemensam, varför det är centralt att tar en aktiv roll i det EU- gemensamma arbetet. För IMY:s del kommer det även att vara en prioriterad uppgift att ta en ledande roll i utformningen av för centrala vägledningar i EDPB. För regeringens del kan åtgärder för att främja en fortsatt regelutveckling handla till exempel om att söka koalitioner med andra medlemsstater vars uppfattning ligger nära på teknikområden med särskilt stora integritetsrisker – till exempel AI, biometri och IoT –och bygga upp en pool av nationella specialister som kan nomineras när kommissionen eller EDPB formerar expertgrupper. En central del i att främja den fortsatta regelutvecklingen handlar om att säkerställa att ny lagstiftning är förenlig med dataskyddsregleringen. Luckor eller motstridigheter i lagstiftningen riskerar annars att skapa situationer där företag och andra verksamheter i praktiken tvingas välja mellan att bryta mot olika regelverk eller inte har tydligt lagstöd för att utföra verksamhetskritiska personuppgiftsbehandlingar. Regeringen bör vid framtagande av utredningsdirektiv alltid överväga om det bör framgå särskilt att en integritetsanalys ska genomföras. För att underlätta för kommittéväsendet att säkerställa att lagförslag är förenliga med dataskyddsregelverket kommer att ta fram en uppdaterad vägledning för kommittéväsendet kring att genomföra integritetsanalyser. Vi föreslår att denna vägledning sedan införlivas i kommittéhandboken. En tredje aspekt för att främja fortsatt regelutveckling handlar om att öka kunskapen om dataskyddsregleringen hos innovationsaktörer, det vill säga organisationer, människor och nätverk som driver skapande, spridning och innovativ exploatering av ny teknik. Det kan handla om till exempel forskningsfinansiärer, inkubatorer, science parks och projekt inom strategiska innovationsprogram. Syftet är att öka förmågan att ansvarsfullt bedriva datadriven innovation och teknikutveckling. , och AI har påbörjat ett samarbete för att utveckla strukturerade former för proaktiv vägledning i tidiga skeden av innovationsprojekt. Regeringen bör överväga att skapa förutsättningar för och att genomföra riktade insatser för att höja kunskapen hos privata och offentliga aktörer i det svenska innovationssystemet med avseende på integritets- och dataskyddsfrågor. Genom att skapa former som medger en dialog mellan och innovationsaktörer tidigt i innovationsprocessen ökar också myndighetens kunskap om teknikutveckling och praktiska utmaningar och lösningar när dataskyddsregelverket appliceras på ny teknik, vilket gör att myndigheten kan ge mer riktat stöd och vägledning till fler aktörer. I förlängningen bör regeringen överväga att skapa förutsättningar för att driva regulatorisk testverksamhet. Inom flera länder i pågår försöksverksamhet med regulatoriska testbäddar där dataskyddsmyndigheten ger en mer fördjupad vägledning till utvalda innovationsprojekt. Regeringen bör noga följa hur till exempel det norska försöket med en regulatorisk testbädd utvecklas. verksamheter behöver fortsätta förbättra sitt grundläggande dataskyddsarbete Inom ramen för en samlad integritetsskyddspolitik som föreslagits ovan bör regeringen vidta åtgärder för att säkerställa att privata och offentliga verksamheter fortsätter att förbättra sitt grundläggande dataskyddsarbete. Många företag och myndigheter driver ett ambitiöst dataskyddsarbete. visar de cirka 500 ärenden med sanktionsavgifter som beslutats av tillsynsmyndigheterna inom EU att merparten av överträdelserna rör grundläggande skyldigheter. Data behandlas på ett sätt som strider mot dataskyddsförordningens grundläggande principer, utan rättslig grund eller med bristfälliga säkerhetsåtgärder. Sammanfattningsvis visar sanktionsavgifterna att lägstanivån i dataskyddsarbetet fortfarande behöver höjas. Dataskyddsförordningen anger flera verktyg för ett systematiskt dataskyddsarbete som underutnyttjats, till exempel konsekvensbedömningar, förhandssamråd och uppförandekoder. Regeringen bör säkerställa uppföljning av hur arbetet med dataskydd utvecklas i den offentliga förvaltningen. Precis som regeringen tidigare konstaterat gällande informations- och cybersäkerhet behöver företag och andra organisationer öka sin kompetens även om dataskydd. Alla typer av organisationer behöver arbeta systematiskt med dataskydd. Dataskyddsarbetet behöver integreras med informations- och cybersäkerhetsarbetet och gå från att vara en teknisk eller juridisk fråga till en strategisk verksamhetsfråga. Att offentlig sektor inte har en oproportionerlig övervakning av människor och systematiskt arbetar för att säkerställa ett gott integritetsskydd är särskilt viktigt för att behålla tilliten till digitala lösningar. Uppföljning av hur den offentliga förvaltningens arbete med dataskydd utvecklas skulle till exempel kunna ske inom ramen för den struktur för uppföljning av det systematiska informationssäkerhetsarbetet som MSB har regeringens uppdrag att ta fram, alternativt genom särskilda återrapporteringskrav i myndigheters regleringsbrev. För att den digitala utvecklingen ska vara hållbar behöver satsningar på datadriven innovation kombineras med kraftfulla insatser för att värna den personliga integriteten. I rapportens inledande avsnitt belyser vivarför en ökad användning av data är viktig - men också hur personlig integritet kan förstås och vad det har för betydelse ur till exempel ett demokrati-, säkerhets- och hållbarhetsperspektiv. Vi går också igenom vissa skillnader och likheter mellan dataskydd, informationssäkerhet, cybersäkerhet och säkerhetsskydd och varför det är viktigt att se de olika delarna som länkar i en större kedja. I det inledande kapitlet beskrivs också rapportens syfte och målgrupp samt hur vi gått tillväga när vi tagit fram rapporten. är ett av EU:s mest digitaliserade länder, med ambitionen att bli bäst i världen på att använda digitaliseringens möjligheter. Allt från demokrati, regional utveckling, handel och arbetsliv till sociala samspel påverkas i grunden av teknikutvecklingen. Med hjälp av datadriven och digital innovation skapas nya tjänster och funktioner som ger värde för samhälle, miljö, företag och ökad livskvalitet för enskilda individer. Kärnan i Datainspektionens uppdrag har sedan myndigheten bildades varit att värna medborgarnas personliga integritet. förstärktes det rättsliga skyddet för den personliga integriteten genom EU:s generella dataskyddsförordning (dataskyddsförordningen, ofta kallad GDPR)1. Kompletterande lagstiftning trädde ikraft i form av dataskyddslagen2 och annan nationell lagstiftning. Ett EU-direktiv på det brottsbekämpande området implementerades i genom brottsdatalagen (BdL) och brottsdataförordningen.3 Sammantaget innebär de nya regelverken att det rättsliga skyddet för den personliga integriteten nu är starkare medför teknikutvecklingen att även hot och risker för den personliga integriteten är mer omfattande, långtgående och potentiellt allvarligare än . Ständigt ökande mängder data samlas in hos privata och offentliga aktörer, ofta i praktiken utan att den enskilde individen kan överblicka hur datan används, av vem eller varför. En del av Datainspektionens uppdrag har handlat om att följa, analysera och beskriva utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik.4 beslutade regeringen om ett tillägg i myndighetens instruktion innebärande att en redovisning av utvecklingen på området ska lämnas till regeringen vart fjärde år.5 Regeringen har därefter beslutat att Datainspektionen per byter namn till . Denna rapport utgör (IMY:s) första redovisning av uppdraget att följa, analysera och beskriva utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik. Genomgående används i rapporten för att beskriva myndighetens uppdrag och kunskapsunderlag etcetera. Datainspektionen används vid hänvisning till rapporter som har levererats i Datainspektionen namn. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen. Brottsdatalagen (2018:1177), brottsdataförordningen (2018:1202). Förordning (2007:975) med instruktion för , 1 §. Förordning (2019:555) om ändring i förordningen (2007:975) med instruktion för . Den första redovisningen ska enligt regeringens beslut överlämnas till regeringen senast Med anledning av bland annat namnbytet har begärt förlängd tid för att lämna in rapporten till , vilket regeringen beviljat.