prop · H903203 · 2022-03-30 00:00:00 — Men det konstateras också att många appar fortfarande har åtkomst till fler funktioner än vad som beskrivs i integritetspolicyn och än vad de behöver för att fungera. Av undersökta Android-appar fanns det exempel på appar som registrerade användarens aktivitet och skickade informationen till olika servrar vilket, enligt forskarna, kan leda till digital övervakning, profilering och lösenordsfiske. Detta medför risker för den personliga integriteten.318 Ett pågående forskningsprojekt undersöker användarnas uppfattning om hur (fysisk) fingeravtrycksigenkänning fungerar och varför. Forskningen visar på skillnaden mellan att använda PIN-kod och fingeravtryck Studien visar bland annat att självuppskattning av kunskap i datasäkerhet inte är en bra indikator för respondenters faktiska förståelse för hur säkra fingeravtryck är.319 S. (projektledare), Tillitsbaserad personuppgiftshantering i den digitala ekonomin. Utmaningsdriven Innovation (UDI), Steg 2. , From Signal to Social: Steps Towards Pervasive Se artikel: https://www. /2018/10/16/digitalt-fingeravtryck-hotar-din-integritet/. L. , M. Hatamian, N. Momen, artiklar: Did App Privacy Improve After the GDPR?, . GDPR lyft för appar, . Även A Multilateral Privacy Impact Analysis Methos for Android Apps, 2019. Ingår i: /[ed] M. Naldi, G. F. Italiano, K. Rannenberg, M. & A. Bourka, Cham: Springer, 2019, Vol. 11498, sid. 87-106. F. Faregar, , S. Fisher-Hübnern, Fingerprint Recognition on Mobile Devices: Widely Deployed, Rarely Understood. 7.1.3Användning av appar inom AdTechsektorn När vi rör oss i digitala miljöer, blir vi kontinuerligt följda och profilerade. För AdTechsektorn, är tillgång till data som vi lämnar i dessa miljöer av stor betydelse för att kunna rikta specialdesignad marknadsföring till enskilda. Några av de risker som finns inom AdTechsektorn har tidigare beskrivits i avsnittet om teknikutveckling (avsnitt 5.4.3) . Där redovisas också norska som drar slutsatsen att appar samlar in stora mängder data och att AdTechsektorn delar och behandlar data helt ”out of control”.320 En studie på temat dataekonomier visar hur den digitala ekonomin har utvecklats mot ett alltmer datadrivet ekosystem, djupt involverat i de flesta aspekter av våra vardagsliv.321 Annonsfinansiering av riktad reklam tycks , enligt rapporten, vara en central affärsmodell för webben, vilket bidrar till insamling av stora mängder individrelaterad data. Studien visar på komplexiteten i reklamprocessen och konstaterar att de flesta webbplatsbesök medför att en stor mängd tredjeparter samlar in data och spårar besöket, om inte särskilda åtgärder tagits av besökaren för att förhindra detta. Användare och konsumenter är enligt rapporten i varierande grad medvetna om datainsamlingen, Ofta finns ett grundläggande antagande om att ens data kommer användas för riktad reklam, men i övrigt finns låg grad av transparens vad gäller tredjepartsaktörer och vad datan används till. Medgivandet till datainsamling tycks ofta vara oinformerat, vilket indikerar att regleringen kring kakor och informerat samtycke inte fungerar. Tredjepartsproblematiken och datahandlande marknader utgör, både från ett individ- och ett företagsperspektiv , en icke-transparent praktik. Konsumenters informerade valfrihet är därigenom undergrävd. En av slutsatserna i rapporten är att mycket talar för att dataekonomier och kommersiella plattformsaktörers dominans föranleder ett ökat samverkansbehov mellan tillsynsmyndigheter som , och och att dessa behöver säkerställa att de har erforderlig kompetens och effektiva tillsynsmetoder för att kunna granska aktörerna Out of control. How consumers are exploited by the online advertising industry, 2020. S. , på uppdrag av , uppdragsforskningsrapport 2020:4 Dataekonomier – Om plattformar, tredjepartsaktörer och behovet av transparens på digitala marknader. I rapporten framhålls att där tidigare i huvudsak konsumenträtt och integritetsfrågorna stått i fokus, har konkurrensfrågorna fått ett allt större fokus på området, i takt med att vissa av digitaliseringens datadrivna aktörer erhållit en nästan infrastrukturell marknadsposition. Kunskap om dataskyddsförordningen och hur förordningen påverkar den egna verksamheten är central för en effektiv implementering i verksamheterna. Utvecklare och designers saknar ofta kunskap om data- och integritetsskyddsfrågor och behöver stöttning i att göra rätt i designsituationer. Genom ett online-verktyg som utvecklats kan mjukvaruarkitekter och utvecklare få stöd i att ta fram system som är anpassade efter förordningen. Forskare vid har arbetat fram breda onlineutbildningar i dataskydd, bland annat en med särskilt inriktning mot Privacy by Design, för professionella och universitets- och högskolestudenter.322 Totalt finns fem separata moduler i utbildningskonceptet,323 som utöver stöd vid mjukvarudesign för utvecklare och designers, som nämnts ovan, omfattar •Introduktion i integritetsskydd och GDPR324 – utbildningen ger grundläggande kunskaper och diskuterar typiska risksituationer i samband med användning av molntjänster, IoT och . I utbildningen presenteras åtgärder som verksamheter måste vidta för att uppfylla dataskyddsförordningens krav. •Integritetshöjande tekniker (, PET) – ger en introduktion till säkerhets- och integritetshöjande mekanismer och tekniker. •Integritetsdesign – introduktion till inbyggt dataskydd och dataskydd som standard och integritetsvänlig design. Utbildningen anger bland annat hur en konsekvensanalys kan genomföras. •Strategiskt dataskyddsarbete () – anger att ett strategiskt dataskyddsarbete är en kontinuerlig process för att bedöma risker och konsekvenser i verksamheten. Under utbildningen tillhandahålls bland annat en modul för strategiskt dataskyddsarbete som en del i verksamhetens organisatoriska åtgärder. Det är vällovliga initiativ och utbildning kan bidra till en djupare förståelse av olika aspekter av integritet och informationssäkerhet i praktiken. M. Colesky, K. Dementzou, L. , Architects Familiarize with the Protection Regulation, , 2019. D. , C. Marianthi Theocharidou, S. , L. Martucci, L. , T. Pulls MOOC on Privacy by Design and the GDPR. , S. , L. , S. , L. Iwaya, L. Martucci, T. Pulls, A. Zuccato The Privacy by Design course team, . Integritetsskyddslagstiftningen utgör också ett särskilt inslag i den obligatoriska kursen i rättsinformatik på juristprogrammet på . 7.1.5Forskning för att utveckla säkra molntjänster och appar Ett europeiskt forskningsprojekt bedrivs i syfte att skapa en ny plattform som möjliggör säker analys av data i molnet. Den nya tjänsten syftar till att kunna erbjuda en helt säker analys av känsliga data som till exempel patientuppgifter. Förutom att plattformen ska möjliggöra en säker analys av känsliga uppgifter, uppges den kunna ge stora värden genom att kunna se större mönster i stora datamängder utan att enskilda kan spåras. Exempelvis skulle större telefonoperatörer, som är strikt begränsade i vilken information de får använda och hur, kunna analysera rörelser generellt och därmed kunna kartlägga trender i rörelsemönster i samhället utan att enskilda kan identifieras. Forskningen omfattar även utveckling av ett verktyg som förklarar hur registrerades uppgifter analyseras säkert och integritetsvänligt.325 Ett annat forskningsprojekt anger att en central faktor för system som hanterar känslig information, till exempel medicinsk data, är att de är säkra. I den mån patienter inte har tillit till systemen kommer de inte att lämna nödvändiga uppgifter för att en läkare ska kunna göra en adekvat medicinsk bedömning. Trots det anges att många av dagens mobila lösningar för hälsodatainsamling saknar tillräckligt säkerhets- och integritetsskydd. Ett samverkansprojekt mellan svenska och brasilianska forskare har resulterat i framtagning av en säker och integritetsskyddande app för mobil insamling av hälsodata, där Privacy by Design och by Default är viktiga komponenter. Designen är anpassad för utvecklare med begränsade kunskaper i integritetsskyddande system, i syfte att de löpande ska kunna ansvara för att genomföra uppdateringar och underhåll av systemet.326 7.1.6 Internet of things, IoT Uppkopplade enheter i hemmet kan kontinuerligt samla in och föra vidare data om de boendes dagliga aktiviteter. Insamlingen kan omfatta mycket integritetskänslig data. I ett pågående forskningsprojekt beskrivs i problemformuleringen att en del av uppgifterna tillhandahålls frivilligt av användarna, medan andra data samlas in automatiskt av enheterna. I vissa fall kan slutanvändare inte (enkelt) välja bort insamlingen av data och ”begravs” samtycken för insamling eller användning av data i integritetspolicyn och accepteras omedvetet av användarna. Om en användare upphör med att tillhandahålla informationen upphör tjänsterna ibland att gälla. Genom att identifiera och kartlägga de hot och integritetsrisker som finns i system för uppkopplade enheter i hemmet, kan nya system byggas som skyddar den personliga integriteten. Forskningen syftar till att höja integritetsskyddet och ge individerna större kontroll över de uppkopplade enheterna.327 Ytterligare ett forskningsprojekt inom IoT bedrivs i syfte att studera effekterna av sensorbaserad teknologi. Inom forskningen studeras användning av sensorbaserad teknik inom områden som varit huvudsakligen analoga eller som använt sig av digital teknik som inte varit sensorbaserad. Sensorbaserad teknik och digital databehandlingsförmåga används allt oftare och blir allt mer kraftfull. Det finns därför ett behov av att undersöka etiska aspekter och sociala implikationer. Genom att belysa detta i samband med strategier för implementering avser projektet att skapa en brygga mellan det praktiska och det akademiska och därigenom generera ett värde för såväl akademi som praktiker när det kommer till förståelsen för IoT.328 Ett av problemen med smarta enheter är att det går att spåra personer och kartlägga deras aktiviteter. Ofta behöver man lämna uppgifter som inte borde vara av relevans för att få produkten att fungera. Ett forskningsprojekt arbetar nu för att kartlägga problemen i syfte att höja säkerheten för nästa generations smarta enheter och miljöer. Projektet syftar till att höja säkerheten för användarna med hjälp av den senaste tekniken i identitetshanteringen. Användaren ska få större kontroll genom att till exempel ha möjlighet att interagera i ett sekretessvänligt läge. Projektet ska resultera i en prototyp för olika komponenter som kan säkra den personliga integriteten som medför pålitliga smarta miljöer som ger människor kontroll och överblick över sina enheter.329 S. användning av molntjänster med avidentifiering, . Privacy for in the Primary Care, , 2019. J Bugeja, Smart connected homes: concepts, risks and challenges. V. med internet of things. Projekt and Private Connectivity in Smart Environment, . Projektet startade och ska pågå . 7.1.7 Artificiell intelligens, AI Just nu är det akademiska intresset för AI stort och utveckling och forskning bedrivs på flera orter i , och utomlands. uppskattade 2019 antalet forskningsmiljöer i som fokuserar på AI då till närmare 40, men framhöll att det är ett snabbt växande område.330 startade, som nämnts tidigare, ett nationell samverkanscentrum benämnt AI som genom samverkan och samlokalisering ska accelerera innovation och forskning inom praktiskt tillämpad AI. är en av huvudfinansiärerna. Syftet är att kraftsamla kring forskning och innovation inom AI. Sannolikt kommer vi inom att se flera resultat av detta samarbete.331 Den snabba utvecklingen inom AI innebär utmaningar för integriteten, vilket kan skada tilliten till tekniken. I en nyligen publicerad rapport presenterar fyra forskare såväl problemområden som förslag till lösningar. Att AI och den snabba utvecklingen inom maskininlärning kommer med enorma löften är vedertaget. Men om dess värden kommer att kunna realiseras på ett hållbart sätt är enligt forskarna mer osäkert. Det beror bland annat på att etiska, sociala och rättsliga dimensioner inte har integrerats och testats tillräckligt i forskning, utformning och implementering av AI-systemen. Detta riskerar att leda till mindre tillförlitliga AI-applikationer och skada tilliten till AI överlag.332 De fyra problemområden som forskarna identifierar som nyckelområden för AI-teknologins fortsatta framgångsrika utveckling är: •partiskhet/”bias” •missbruk och illvillig användning samt •transparens och förklarbarhet. 2019:05 AI-miljöer i – En översikt över miljöer som bidrar till utvecklingen av artificiell intelligens. I rapporten anges att översikten inte är fullständig på grund av den snabba förändringstakten inom området. S. , F. , L. , A. Felländer AI-teknologin måste gå att lita på, , 2019. Forskningsrapportens rekommendationer är att regleringen behöver förtydligas; såväl etiska ramverk som tolkning av rådande lagstiftning behöver stärkas och tillsynsmyndigheterna behöver stimuleras och utbildas för att kunna hålla jämna steg med utvecklingen. Man behöver också satsa på tvärvetenskapliga perspektiv (dels forskningsmässigt, till exempel inom teknik- och samhällsvetenskap, samt medicin och humaniora, dels samarbetsmässigt, där samarbeten behöver etableras mellan akademi, industri och offentlig sektor) kring tillämpad AI för att nå mer kunskaper om utmaningarna, bland annat när det gäller bias, ansvarsfördelning och vilken grad av transparens som är önskvärd/möjlig för respektive kontext eller användning. Slutligen behöver tilliten i samhället för AI stärkas. Tillitsfrågan är central om de löften och värden AI kan medföra i sektorer som handel (individualisering), finans (effektivisering) och hälso- och sjukvård (ökad precision i diagnoser) ska kunna realiseras. Ytterligare en forskningsartikel beskriver vad AI kan användas till, men tar också upp legala och normativa risker och diskuterar olika förutsättningar för att tillit till systemet och utvecklingen ska finnas.333 Också konsumenter har gjort en undersökning om AI där de konstaterar att den stora frågan inte är om viär för eller emot AI, utan om hur vi gemensamt kan skapa AI-system som både konsumenter, företag och myndigheter kan lita på.334 Några av de utmaningar som enligt Konsumenter finns med AI anges vara bristen på transparens, vilket kan bero på allt från att företag inte vill dela med sig av affärshemligheter, till att systemen utgör ”svarta lådor” vars logiska slutsatser är obegripliga för människor. konsumenter menar att transparens är en förutsättning för att kunna avgöra om ett system fyller sin funktion och gör det på ett rättvisande sätt. Både konsumenter och tillsynsmyndigheter måste ges insyn i de system som rullas ut och där systemen sköter beslutsfattande i allt viktigare frågor. bör under alla omständigheter få kunskap om att automatiserat beslutsfattande används och vilka data besluten baseras på.335 I de fall beslutet kan innebära ekonomiska eller andra allvarliga konsekvenser bör de kunna få en mer utförlig förklaring av systemets beslut. S. Relevance of Artificial Intelligence, , 2019. konsumenters rapport , Artificiell intelligens. Konsumentskydd för transparens & tillit, 2020. Dataskyddsförordningen innehåller särskilda bestämmelser om automatiserat beslutsfattande i artikel 15.1 h och artikel 22. Tre områden som särskilt lyfts fram som riskområden för diskriminering och osaklig särbehandling inom AI enligt Konsumenter rör personanpassade försäkringspremier inom försäkringsbranschen och personanpassade priser i övrigt, som sannolikt förekommer i allt högre utsträckning, där prisanpassningar baseras på om en konsument till exempel är innehavare av en hemsida eller app eller var de befinner sig när de handlar. Därutöver är ett riskområde annonsmarknaden där reklam och jobbannonser riktas till specifika målgrupper. System för personanpassad marknadsföring är inte isolerade till sociala medier utan används över hela webben. I många fall riktar annonsörer (eller väljer att inte rikta) budskap baserat på känsliga personuppgifter, som trosuppfattning och sexuell läggning. Systemen inkluderar dessutom ofta många typer av uppgifter, till exempel om köphistorik, inkomst, geografisk plats och personlighetsdrag. Kunskapen kan sedan användas för att rikta reklam. Enligt konsumenters rapport hävdas att man inom Adtech-sektorn utlovar att man kan skräddarsy reklam så att man når fram med sina budskap då konsumenter är särskilt mottagliga för reklambudskap.336 Ett riskområde som utvecklare av AI-system uppmanas undvika eller kompensera för enligt konsumenter rör endimensionella mål. Trots fokus på intelligens och automatisering följer AI-system i grunden instruktioner som är upp till människor att definiera. Är incitamenten felaktiga, och till exempel enbart utgår från att optimera vinst, kan det snedvrida inlärningen. Bristfälliga data under upplärningen utgör ytterligare ett riskområde. Om människor har diskriminerat konsumenter baserat på exempelvis kön eller etnisk bakgrund är risken stor att AI-systemet lär sig samma beteende. Proxyegenskaper är ett tredjeriskområde. Egenskaper kön, etnicitet och sexuell läggning korrelerar ofta med andra uppgifter om en person; etnicitet kan till exempel korrelera med postnummer, medan kön kan korrelera med inköp av vissa produkter. AI- systemet kan därmed programmeras på ett sätt som leder till diskriminering. Direktmarknadsföring anses vara en fråga som medborgare bör ha särskild förfoganderätt över och det finns särskilda bestämmelser om att man ska ha rätt att tacka nej till direktreklam (rätten att göra invändningar, artikel 21.2 dataskyddsförordningen). För de verksamheter som bygger sin verksamhet på samtycken från enskilda är det här viktigt att arbeta med transparens och utifrån förutsättningen att enskilda alltid har rätt att när som helst återkalla samtycket. Dennes personuppgifter får då inte längre behandlas (artikel 6.1 (a), samt artikel 7–8 dataskyddsförordningen). Sammanfattningsvis kan konstateras att pågående forskning och studier pekar på områden där särskilda integritetsrisker finns och antingen bidrar till att öka förståelsen för området och de risker som finns, eller bidrar med förslag på lösningar för att integritetsskyddet ska beaktas i utvecklingen av olika tjänster och produkter. Områden där särskilda risker analyseras är appar och dess tillämpning, särskilt annonsfinansierade appar, där undersökningar särskilt pekar på den omfattande spridning av uppgifter som apparna bidrar till och svårigheterna för enskilda att ge ett informerat samtycke till tjänsten. Det är också uppenbart att appar bidrar till att enskilda förhållandevis enkelt kan identifieras och övervakas. Särskilda risker för en omfattande datainsamling och för övervakning och kartläggning av enskilda lyfts fram när det gäller utvecklingen av IoT. Detsamma gäller för den snabba utvecklingen som sker inom AI, där särskilda risker finns för att AI utvecklas utifrån förutsättningar som riskerar att leda till diskriminering eller på annat sätt oönskade resultat. Ett särskilt riskområde är här kopplat till automatiskt beslutsfattande. Bilaga 1 – sammanfattning av centrala regler i dataskyddsförordningen I denna bilaga beskrivs några av de förändringar som har införts genom dataskyddsreformen och som kortfattat har berörts i rapporten. Enskildas rättigheter har stärkts Enskildas rättigheter har stärkts genom införandet av förordningen. I avsnitt 3 och 4 i förordningen behandlas de rättigheter som verksamheter måste tillförsäkra enskilda vid behandling av deras uppgifter.337 Det handlar om att enskilda ska ha rätt till insyn och kontroll över sina personuppgifter genom att få rätt till information och tillgång •klar och tydlig information, samt klara och tydliga villkor för hur man som enskild ska kunna utöva sina rättigheter – den enskilde ska få relevant information i klar och tydlig, begriplig och lättillgänglig form •viss information om uppgifter har samlats in från den enskilde själv, annan information om uppgifter har samlats in från annan; ändamålen med behandlingen och den rättsliga grunden ska alltid anges •information om och bekräftelse på om personuppgifter om en själv behandlas rätt till rättelse, radering, begränsning och överföring •rätt att få uppgifter rättade •rätt att få uppgifter raderade (rätten att bli bortglömd) •rätt att begränsa behandlingen •rätt till så kallad dataportabilitet, det vill säga att få ut de personuppgifter som rör en själv för att kunna föra över dem till en annan aktör rätt att göra invändningar •rätt att göra invändningar om personuppgifter behandlas med stöd av en intresseavvägning eller ett allmänt intresse (inklusive profilering) – personuppgifterna får då inte längre behandlas om inte personuppgiftsansvarige kan påvisa avgörande berättigande skäl som väger tyngre än den enskildes intressen, för att fortsätta behandlingen •rätt att invända om personuppgifter behandlas för direktmarknadsföring, inklusive mot profilering i den utsträckning profileringen har samband med direktmarknadsföring begränsning av automatiserade beslut •rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, som har rättsliga följder för den enskilde eller på liknande sätt i betydande grad påverkar honom eller henne. Dataskyddsförordningen anger rättigheter för enskilda som ska gälla i alla medlemsstater, bland annat ska enskilda, utöver de rättigheter som särskilt pekas ut, ha rätt att lämna in klagomål till tillsynsmyndigheten. De ska också ha möjlighet att kunna klaga på beslut från dataskyddsmyndigheten, processa mot en personuppgiftsansvarig i nationell domstol och ha rätt till skadestånd för skada som uppstått genom överträdelser av dataskyddsförordningen.338 Den enskildes rättigheter är långtgående och förutsätter att den som hanterar personuppgifter har ordning och reda och kan härleda personuppgifter som kan kopplas till en viss individ samt också rutiner och processer för att ge enskilda den insyn och kontroll över sina uppgifter de har rätt till. Artikel 77–82. Rätten till skadestånd behandlas bland annat i Artikel 12–22 dataskyddsförordningen. Om skyddet för personuppgifter och privatliv i svensk rätt; Ak. Kraven på verksamheter som behandlar personuppgifter har ökat Som huvudregel är det den som hanterar enskildas uppgifter som har att visa att den enskildes rättigheter är tillgodosedda vid en eventuell granskning. Begreppen behandling och personuppgift är centrala i regelverket När en verksamhet behandlar personuppgifter aktiveras ett stort ansvar och en rad skyldigheter.339 Begreppet behandling definieras i dataskyddsförordningen. har i vägledning till företag, myndigheter och andra organisationer definierat begreppet personuppgiftsbehandling genom att exemplifiera en serie av åtgärder som behandlingen kan innebära.340 En behandling av personuppgifter är varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring Med personuppgift avses en uppgift som direkt eller indirekt identifierar en fysisk person, särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Genom den stora omfattningen av potentiella identifierare är det tydligt att behandling av personuppgifter omfattar en stor mängd ageranden.341 Grundläggande principer behöver beaktas vid all hantering av personuppgifter Förordningen ställer ökade krav på den som behandlar personuppgifter.