prop · H903203 · 2022-03-30 00:00:00 — Åtgärder behöver också vidtas i syfte att säkerställa att kunskaperna om dataskyddsfrågor breddas i organisationerna. Framför allt är det en ledningsfråga att säkerställa ett systematiskt arbete med integritets- och dataskyddsfrågor i verksamheterna. 289. fel-med-gdprpdf_1004995.html/BINARY/Vad%20är%20fel%20med%20 GDPR-.pdf. 6.1.2Iakttagelser utifrån anmälda personuppgiftsincidenter har publicerat fyra rapporter som rör anmälda personuppgiftsincidenter.290 Verksamheter har ett ansvar för att efter upptäckt rapportera en personuppgiftsincident till tillsynsmyndigheten.291 Antalet anmälda personuppgiftsincidenter som inkommit till uppgår till drygt 11 000. anmäldes totalt knappt 2 300 incidenter, vilket motsvarade cirka 320 incidenter per månad.292 fick totalt in knappt 4 800 och närmare 4 500 anmälningar om personuppgiftsincidenter, vilket motsvarar cirka 375–400 anmälda incidenter Det är svårt att dra säkra generella slutsatser om branscher eller områden som är särskilt utsatta för incidenter, då det sannolikt finns ett stort mörkertal. Myndigheten har dock lämnat generella rekommendationer för att verka för en förbättrad personuppgiftshantering i syfte att förebygga incidenter och mildra konsekvenserna om de ändå inträffar. Generella rekommendationer har varit att rutinerna för att upptäcka och anmäla incidenter kan förbättras ytterligare och att verksamheterna bör använda incidenterna för lärande och utveckling, då incidenterna bör kunna ge viktiga signaler om interna utvecklingsbehov som bör tas tillvara. En förbättrad behörighetsstyrning kan förebygga incidenter genom att risken för obehörig åtkomst och obehörigt röjande minskar. Datainspektionens rapport 2019:1 Anmälda personuppgiftsincidenter , Datainspektionens rapport 2019:3 Anmälda personuppgiftsincidenter januari – , Datainspektionens rapport 2020:2 Anmälda personuppgiftsincidenter och Datainspektionens rapport 2020:3 Personuppgiftsincidenter som beror på antagonistiska angrepp 2019. En personuppgiftsincident är enligt dataskyddsförordningen artikel 4 punkt 12 en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Hur incidenten ska behandlas regleras i artikel 33–34 i förordningen. Det är allvarligt att underlåta att rapportera inträffade incidenter då verksamheten i sådana fall riskerar sanktionsavgifter vid en ev. granskning av tillsynsmyndigheten (artikel 33–34, samt artikel 83.4 (a) dataskyddsförordningen). Rapporteringsskyldigheten infördes genom att dataskyddsförordningen infördes . Det finns därför inte några siffror för . Rekommendationerna har i övrigt rört behovet av utbildning av medarbetarna. Precis som indikerades i den nationella integritetsrapporten visar även inkomna incidentrapporter att medarbetarna utgör en svag länk. En stor andel incidenter – ungefär hälften av incidenterna – uppges bero på den mänskliga faktorn. Detta accentuerar behovet av att styrdokument och tekniska informationssäkerhetsåtgärder kompletteras med löpande utbildning och andra åtgärder för att öka kunskapen och medvetenheten hos medarbetarna. Frågor som särskilt bör adresseras rör e-posthantering, kryptering vid överföring av uppgifter på flyttbara lagringsmedia (som usb-minnen, bärbara datorer och mobiltelefoner) samt att öka kunskapen om antagonistiska angrepp, som ofta sker genom att medarbetare öppnar skadliga länkar eller filer från okända avsändare. När det särskilt gäller förmågan att stå emot antagonistiska angrepp har pekat på att grundläggande it-säkerhetsåtgärder behöver vidtas i syfte att stärka skyddet för de personuppgifter som hanteras. Exempel på tekniska åtgärder är löpande säkerhetsuppdateringar, uppgradering av mjuk- och hårdvara samt av operativsystem, införande av flerfaktorsautentisering samt användning av antivirusprogram. Även kryptering anges som exempel på lämplig säkerhetsåtgärd i sammanhanget. Slutsatserna och rekommendationerna ligger väl i linje med de konstateranden som MSB gör mot bakgrund av de allvarliga it-incidenter i offentlig sektor som anmäls till MSB. Statliga myndigheter är skyldiga att anmäla allvarliga it-incidenter till MSB. I rapporteringen om de knappt 300 allvarliga it-incidenter som anmäldes påtalar MSB att antalet rapporterade allvarliga it-incidenter är lågt och att det verkliga antalet sannolikt är högre. MSB:s redovisning visar också att handhavandefel är den vanligaste typen av allvarlig incident och att systematiskt och riskbaserat informationssäkerhetsarbete med incidenthanteringsprocesser och kontinuitetsplanering skulle höja lägstanivån.293 MSB 1526, Årsrapport it-incidentrapportering – Vad har hänt, varför har det hänt, och vad ska göras för att undvika att det händer igen? Även rapporten i – hot, metoder, brister och beroenden påtalar vikten av ett kontinuerligt och systematiskt säkerhetsarbete. I rapporten varnas för att arbetet med cybersäkerhet inte är ändamålsenligt sett till de hot och risker som finns. Exempel på återkommande brister i säkerhetsarbetet är att engagemang, ansvar och ägarskapet för säkerhetsfrågor är lågt, att information inte är korrekt inventerad och klassificerad, att processer, regler och policys saknas eller har brister, att beslutade säkerhetsåtgärder inte genomförs eller att det finns brister i avtal med leverantörer och deras underleverantörer.294 Sammanfattningsvis tyder inkomna anmälningar om personuppgiftsincidenter på att det finns behov av att förbättra arbetet med grundläggande informationssäkerhetsåtgärder för att minska riskerna för enskildas fri- och rättigheter i verksamheterna. Att det finns ett generellt behov av att förbättra arbetet med informationssäkerhet är också ett återkommande budskap från andra ansvariga myndigheter. 6.1.3Iakttagelser utifrån inlämnade klagomål Myndigheten har publicerat två rapporter som rör inkomna klagomål.295 Enskilda individer har enligt dataskyddsförordningen en uttalad rätt att klaga till tillsynsmyndigheten. Antalet klagomål har varit förhållandevis stort i förhållande till antalet klagomål som lämnades till myndigheten åren före dataskyddsreformen genomfördes. Totalt har tagit emot drygt 7 500 klagomål. efter införandet av dataskyddsförordningen tog emot omkring 3 000 klagomål . Detta är en väsentlig ökning jämfört med då myndigheten tog emot knappt 250 klagomål. Ungefär en fjärdedel av klagomålen avser de rättigheter som förordningen ger medborgarna.296 Den vanligaste rättigheten som berörs i klagomålen är rätten till radering och därefter rätten till information genom registerutdrag. FRA, Försvarsmakten, MSB, Polisen och Säkerhetspolisen; Cybersäkerhet i – hot, metoder, brister och beroenden. Datainspektionens rapport 2020:1 Klagomål mot personsöktjänster med frivilligt utgivningsbevis –, Datainspektionens rapport 2020:4 Klagomål till Datainspektionen –. Ytterligare en fjärdedel av klagomålen riktas mot personsöktjänster, det vill säga sajter med utgivningsbevis. Sajternas innehav av utgivningsbevis innebär att de har grundlagsskydd och till stora delar är undantagna från reglerna i dataskyddsförordningen. I klagomålen framgår att medborgarna upplever sajternas omfattande publicering av personuppgifter och andra uppgifter om dem och deras levnadsförhållanden som mycket kränkande. Drygt ett av tio klagomål handlar om att medborgarna upplever att säkerheten i hanteringen av deras personuppgifter brister, till exempel att känsliga personuppgifter mejlas okrypterat. Ytterligare drygt ett av tio klagomål handlar om att medborgare ifrågasätter om verksamheterna har rätt att hantera personuppgifter på det sätt de gör, det vill säga om det finns rättslig grund. Knappt ett av tio klagomål handlar om kamerabevakning och vanligaste klagomålet i det sammanhanget är att medborgare kamerabevakar grannars tomter eller egendom. 6.1.4Iakttagelser utifrån genomförd tillsyn har ansvar för att övervaka och granska efterlevnaden av dataskyddsförordningen och genomför även tillsyn vad gäller brottsbekämpande myndigheters personuppgiftshantering, samt inom kreditupplysning och inkasso. När det gäller integritetsaspekterna har ännu förhållandevis få nationella beslut fattats för att kunna dra några sammanfattande och generella slutsatser. Vid en sammanställning av tillsynsbeslut som har fattats inom EU/EES297 kan dock några generella trender skönjas. En utgångspunkt vid tillsyn av personuppgiftshanteringen enligt dataskyddsförordningen är att en överträdelse av förordningen som huvudregel ska resultera i en sanktionsavgift. Den kan variera i storlek och kan, om det är frågan om en mindre överträdelse, ersättas med en reprimand. Generellt kan sägas att sanktionsavgifterna kan bli höga.298 Dataskyddsförordningen gäller som nämnts för EU:s medlemsstater, samt för , och . För företag kan sanktionsavgiften uppgå till eller av den globala årsomsättningen, beroende på vilket som är högst. De höga avgifterna är avsedda att inskärpa betydelsen av att hantera personuppgifter på ett säkert och omsorgsfullt sätt. 6.1.4.1 Tillsyn inom EU till och med har tillsynsmyndigheterna inom EU fattat beslut i 479 ärenden som innehåller sanktionsavgifter.299 är det land som utfärdat flest sanktionsavgifter och stod för en tredjedel av meddelade beslut.300 De 50 lägsta sanktionsavgifterna, som generellt avser enskilda mindre överträdelser, uppgår till mellan 28 och drygt De 50 högsta sanktionsavgifterna, som generellt avser överträdelser av flera grundläggande artiklar i förordningen och följer på en mer omfattande granskning, uppgår till mellan 180 000 och De fem högsta sanktionsavgifterna uppgår till301 •50 miljoner euro – avser bristande information till enskilda från . •35 miljoner euro – avser felaktig hantering av personuppgifter om anställda inom H&M i (DE) •28 miljoner euro – avser att enskildas rätt till radering och att invända mot personuppgiftsbehandling inte tillgodosetts i ett italienskt telecomföretag (IT) •22 miljoner euro – avser omfattande läckage av passageraruppgifter, adress- och bankuppgifter med mera inom flygbolaget (). •20 miljoner euro – avser omfattande läckage av personuppgifter inom hotellkedjan (UK302). Närmare hälften av sanktionsavgifterna, 235 ärenden, är på eller mer. Av de 479 meddelade besluten omfattar 65 sanktionsavgifter på motsvarande () eller mer. står för åtta av dessa ärenden. Sammanställningen är gjord utifrån de uppgifter som är inhämtade i tjänsten Enforcement Tracker per (hade antalet sanktionsbeslut passerat 500). Enskilda beslut är inte inhämtade, återgivningen är därför indikativ och används för att illustrera utvecklingen. I tjänsten anges inledningsvis belopp som tillsynsmyndigheten beslutat om. Detta justeras om nationell domstol fastställt ett annat belopp. Det framgår dock inte om så har skett och i vilken instans ändring har skett eller om sanktionsbeloppet har vunnit laga kraft. stod ensamt för 169 av de 479 besluten. har haft möjlighet att besluta om sanktionsavgifter enligt sin nationella lagstiftning redan före dataskyddsförordningen, vilket sannolikt är en förklaring till detta. Mot bakgrund av att regelverket är nytt och att merparten av tillsynsmyndigheterna har fått möjlighet att besluta om sanktionsavgifter och andra mer ingripande korrigerande befogenheter först genom dataskyddsförordningen, saknas ännu i stor omfattning lagakraftvunna beslut från högre instans i nationella domstolar. Den brittiska dataskyddsmyndigheten har meddelat fyra beslut med sanktionsavgifter, varav två ingår i de fem högsta avgifterna. De andra besluten var också förhållandevis stora och omfattade sanktionsavgift om (Ticketmaster UK) respektive (Apotek). Den största sanktionsavgiften som har beslutat om i är och rör bristande borttagande av sökträffar av Google LLC och brister i deras rutiner vid information om borttagande av sökträffar till webbleverantörer. Sanktionsavgiften fastställdes till av förvaltningsrätten i . Domen har överklagats. Det kan noteras en allt högre aktivitet hos tillsynsmyndigheterna i den meningen att fler beslut fattas och framför allt med höga sanktionsavgifter. Mellan 2020 fattades beslut i 156 ärenden med sanktionsavgifter. 28 av de 50 ärendena med högst sanktionsavgifter som har beslutats har fattats . Det tyder på att fler mer omfattande granskningar nu har kunnat avslutas. Vid en sammanställning av besluten rörande de 50 högsta respektive 50 lägsta sanktionsavgifterna kan utläsas att de överträdelser som har konstaterats till övervägande del i huvudsak handlar om fyra grundläggande faktorer. •överträdelser av de grundläggande principerna, vilket vanligen omfattar överträdelse av själva grundprinciperna, men även att personuppgiftsansvarige inte kunnat visa att de grundläggande principerna följs (ansvarsprincipen) •avsaknad av rättslig grund för behandlingen, antingen att rättslig grund helt saknas eller att den uppgivna rättsliga grunden har tillämpats på ett felaktigt sätt •att man inte har efterkommit enskildas rättigheter, bland annat rätten till information, rättelse och radering samt •bristande tekniska och organisatoriska säkerhetsåtgärder som har medfört att personuppgifter inte har tillförsäkrats den skyddsnivå som är lämplig i förhållande till uppgifternas art, omfattning och det sammanhang de behandlas och risken för enskildas personliga integritet om uppgifterna inte ges tillräckligt skydd. Det är ingen större skillnad i överträdelsernas karaktär mellan de största och minsta sanktionsavgifterna men bristande säkerhet var mindre vanligt förekommande vid de mindre överträdelserna. Detta kan tyda på att de mindre överträdelserna baserar sig på enskilda klagomål där framför allt enskildas rättigheter aktualiseras. Ett antal överträdelser rör också konsekvensbedömning och förhandssamråd, respektive brister i incidentanmälningar. har fram till och med avslutat omkring 150 tillsynsärenden. avslutades två ärenden med sanktionsavgifter. har 15 ärenden avslutats med sanktionsavgifter. Ungefär hälften av dessa ärenden är överklagade, varför sanktionsavgifterna kan komma att ändras. IMY:s ursprungliga beslut. En kort beskrivning av de svenska beslut som lett till sanktionsavgifter ges i det följande.303 Några beslut har rört kamerabevakning. Ett ärende avsåg användning på försök av ansiktsigenkänningsteknik för närvarokontroll på en skola. Bristerna avsåg den grundläggande principen om uppgiftsminimering, behandling av känsliga personuppgifter samt avsaknad av konsekvensbedömning och förhandssamråd (sanktionsavgift 200 tkr) Två beslut rör kamerabevakning i fastigheter eller i enskildas boenden. En bostadsrättsförening använde kamerabevakning i entré och trapphus med mera i syfte att komma tillrätta med bland annat ordningsstörningar och skadegörelse. Bristerna rörde de grundläggande principerna, avsaknad av rättslig grund samt bristande information (sanktionsavgift 20 tkr). Även i en hyresfastighet användes kamerabevakning i trapphuset i syfte att komma tillrätta med skadegörelse. Bristerna handlade här om bristande rättslig grund (sanktionsavgift 300 tkr). Slutligen finns ett ärende som rör övervakning av en boende på ett LSS-hem i dennes sovrum. Bristerna avsåg de grundläggande principerna, avsaknad av rättslig grund, behandling av känsliga personuppgifter, bristande information och skyltning, samt avsaknad av konsekvensbedömning och förhandssamråd (sanktionsavgift 200 tkr). Besluten pekar på att integritetsintresset generellt väger mycket tungt i enskildas boendemiljö och att det krävs omfattande analyser och att alternativa, mindre ingripande, åtgärder än kamerabevakning undersöks och används som huvudregel. Användning av ansiktsigenkänning, som innehåller biometriska uppgifter, innebär som tidigare beskrivits generellt höga risker för den personliga integriteten. En konsekvensbedömning och förhandssamråd med Här är det centralt att notera att sanktionsavgifternas storlek varierar beroende på om det är frågan om en myndighet eller privat verksamhet. För myndigheter är avgiftens storlek max , för privata verksamheter max eller max av den globala årsomsättningen, beroende på vilket som är högst. Faktorer som ska beaktas vid fastställandet av sanktionsavgiftens storlek anges i artikel 83 dataskyddsförordningen. tillsynsmyndigheten ska i sådana fall genomföras innan man påbörjar behandlingen. Det har också konstaterats att det saknas undantag för testverksamhet med skarpa personuppgifter i dataskyddsregleringen. Ett ärende rör behandling av uppgifter om lagöverträdelser. En masspubliceringssajt tillhandahöll kreditupplysningsinformation och uppgifter om lagöverträdelser. Uppgifter om lagöverträdelser får inte behandlas i kreditupplysningsverksamhet. Bolaget saknade därmed rättslig grund för behandling av uppgift om lagöverträdelser i kreditupplysningsverksamheten och överträdde även grundläggande principer (sanktionsavgift ). Google-ärendet rörde enskildas rättigheter. Google LLC hade inte tagit bort två sökträffar som tidigare förelagt Google att ta bort samt publicerade webbmeddelanden till de hemsidor där borttagning av sökträffar skedde. Bristerna var hänförliga till de grundläggande principerna, avsaknad av rättslig grund och enskildas rätt att bli raderad, rätten att bli bortglömd (sanktionsavgift ). Flera ärenden bottnade i en personuppgiftsincidentanmälan (eller avsaknad av sådan). Ett sådant fall var en myndighet som inte agerat på en personuppgiftsincident och på ett tillräckligt genomgripande sätt (sanktionsavgift ). Generellt leder en utebliven eller sen anmälan om personuppgiftsincidenter till sanktionsavgift. Besluten har också tydligt pekat på vikten av att dokumentera incidenten och bedömningarna som gjorts i samband med den, då verksamheten har krav på sig att visa att hanteringen varit korrekt. Flera beslut har rört bristande säkerhet i form av tekniska och organisatoriska åtgärder. Ett fall rörde en kommun som i samband med publicering av protokoll publicerade känsliga personuppgifter om en enskild individ på kommunens webbplats. Bristerna rörde de grundläggande principerna, behandling av känsliga personuppgifter och avsaknad av rättslig grund (sanktionsavgift 120 tkr). Ett annat fall rörde forskare som skickat känsliga forskningsuppgifter över okrypterad mail och lagrat ett antal förundersökningsprotokoll med känsliga uppgifter, som ingick i forskningen, i en molntjänst. Bristerna var hänförliga till de grundläggande principerna, bristande säkerhet och bristande personuppgiftshantering (sanktionsavgift Ytterligare ett fall rörde incidenter i fem olika delsystem i en skolplattform. Brister hade funnits över och även känsliga och integritetskänsliga uppgifter, exempelvis uppgifter om skyddad identitet, hade förekommit. Bristerna avsåg de grundläggande principerna, bristande säkerhet i plattformen samt bristande konsekvensbedömning (sanktionsavgift ). Det ställs stora krav på att verksamheter anpassar skyddet för de personuppgifter som behandlas utifrån uppgifternas omfattning, karaktär och art och att de löpande vidtar relevanta tekniska och organisatoriska åtgärder för att säkerställa skyddet för uppgifterna. Besluten visar också på behovet av att säkerställa att medarbetare vet hur uppgifter får behandlas och följer verksamhetens instruktioner. Sju ärenden riktades mot fyra offentliga och tre privata vårdgivare som inte uppfyllt kraven på att göra en behovs- och riskanalys innan tilldelning av behörigheter i deras respektive patientjournalsystem. Bristerna rörde de grundläggande principerna och bristande säkerhet genom avsaknad av den organisatoriska åtgärden att utföra en behovs- och riskanalys innan tilldelning av behörigheter. Totalt omfattade granskningen åtta vårdgivare. Ett ärende avslutades med ett föreläggande. Sanktionsavgifterna uppgick för de privata vårdgivarna till och för de offentliga vårdgivarna till mellan 2,5 och . Sammanfattningsvis kan konstateras att de övergripande brister som framkommit i de svenska tillsynsärenden som lett till sanktionsavgift speglar de generella brister som tidigare uppmärksammats genom anmälda personuppgiftsincidenter och inkomna klagomål. Bristerna rör de grundläggande principerna, att man saknar rättslig grund för behandlingen, att man inte genomfört konsekvensanalys inför omfattande eller nya behandlingar, att personuppgiftsincidenter inte anmälts eller dokumenterats, att man inte har efterkommit enskildas rättigheter, samt att det finns bristande tekniska och organisatoriska säkerhetsåtgärder som har medfört att personuppgifter inte har tillförsäkrats ett tillräckligt skydd. 6.1.5Iakttagelser utifrån meddelade förhandssamråd Ett förhandssamråd behöver genomföras om en verksamhet har gjort en konsekvensbedömning och därefter har vidtagit integritets- och säkerhetshöjande åtgärder och fortfarande bedömer att risken för enskildas integritet är hög.304 har respektive fått in begäran om förhandssamråd som lett till yttrande i sak i ett drygt 10-tal ärenden. Det är större krav på att genomföra förhandssamråd i brottsbekämpande verksamhet, genom att det i stället för ”hög” kvarvarande risk, enbart krävs ”särskild risk” för intrång i den personliga integriteten för att ett förhandssamråd ska behöva genomföras, 3 kap. 7 § brottsdatalagen. Flera ärenden har rört användning av kamera och kamerateknik. Ett ärende rörde avläsning av registreringsskyltar på fordon med fasta kameror för automatisk kameraavläsning av registreringsnummer på fordon på avgränsade platser för jämförelse med uppgifter i myndighetens befintliga underrättelseregister för brottsbekämpning. Vid en ”träff” skulle uppgifter kommuniceras i realtid till berörda tjänstemän. Inga uppgifter skulle lagras. Ett annat ärende rörde förhandssamråd inför användningen av ny programvara för ansiktsigenkänning som skulle samköras mot annat register. De biometriska uppgifterna skulle enbart behandlas inom en specifik del av verksamheten. Ytterligare ett ärende rörde planerad användning av bildanalysverktyg vid utredning av brott. Förhandssamråd har också begärts inför en planerad pilotverksamhet med biometrisk ansiktsverifiering vid yttre gräns som innebar insamling av ansiktsbilder från flygpassagerare på flygplatsen och jämförelse av dessa bilder mot passagerares resehandling i syfte att kontrollera resehandlingens äkthet och personens identitet. har generellt bedömt att det funnits berättigat intresse av att behandla uppgifterna, men har lämnat ett antal råd. De har bland annat rört behovet att beakta den grundläggande principen om uppgiftsminimering, behovet av att säkerställa tillräckliga tekniska och organisatoriska åtgärder och att överväga om syftet med behandlingen i vissa fall skulle kunna uppnås på ett annat sätt, med mindre integritetsintrång, än med stöd av den tänkta metoden. Råden har också avsett att vidta ytterligare åtgärder för att begränsa intrånget i den enskildes personliga integritet. Myndigheten har också lämnat it-säkerhetsmässiga råd om exempelvis åtkomstskydd, loggning och logguppföljning samt rutiner för behörighetstilldelning. Råden har också omfattat lagring och gallring samt rutiner för registervård. Myndigheten har slutligen också lämnat råd rörande nödvändigheten i att tillgodose de registrerades rättigheter – rätt till information och rätt till rättelse med mera. Betydelsen av att tydligt informera besökarna om behandlingen och deras möjligheter att invända mot behandlingen framhölls särskilt i ett ärende rörande besökares rörelsemönster i butik. I ett par fall har råden rört behovet av att tydliggöra ansvarsfördelningen mellan olika aktörer i samband med behandlingen. Förhandssamråd har också omfattat användande av ett verktyg för att följa beteendemönster på en dator och särskilt en funktion för ansiktsigenkänning i samband med examination på distans i syfte att säkerställa studenters identitet.