prop · H903203 · 2022-03-30 00:00:00 — Särskilt stöd ska också ges till små, medelstora och nystartade företag för att de fullt ut ska kunna nyttja de många möjligheterna som finns i databaserade affärsmodeller. Gemensamma europeiska datautrymmen – slutligen avser kommissionen att arbeta för utveckling av gemensamma europeiska datautrymmen inom vissa strategiska sektorer. Datautrymmena ska tas fram i enlighet med dataskyddsregler och högsta cybersäkerhetstandard. Syftet är att underlätta innovation och datadriven utveckling. De utpekade sektorerna är industri/tillverkning, miljö- och klimatarbete, mobilitet och transport, hälsodata, finansiella sektorn, energi, jordbruk, offentlig förvaltning och utbildning. 3.1.3AI ett viktigt fokusområde för EU- kommissionen Nära förknippad med kommissionens datastrategi är den vitbok om AI som presenterades med strategin. bygger i stor utsträckning på den AI-strategi som kommissionen lade fram i april 2018.37 Strategins övergripande målsättning är att EU ska bli världsledande på AI-teknik, som medborgarnas rättigheter säkras. Dessa dubbla huvudspår löper som två tydliga röda trådar såväl genom AI-strategin som genom kommissionens senare dokument på AI-området: offensiva satsningar och kraftigt ökade investeringar ska kombineras med ett intensifierat arbete för att tydliggöra ett etiskt och rättsligt ramverk. Kopplat till AI-strategin finns en handlingsplan för åren 2019–2025 som understryker att tillämpningen av AI ska främjas och kapaciteten stärkas i alla medlemsstater. Ifebruari 2020 följde upp AI- strategin med en vitbok om AI.38 följer de dubbla huvudspår som kommissionen stakade ut i AI-strategin : åtgärder för att främja utveckling och användning av AI kombineras med åtgärder för att adressera de risker som finns kopplade till AI- användning. första del fokuserar på främjande åtgärder för att flytta fram EU:s position att bli världsledande på att utnyttja AI:s möjligheter. Kommissionen konstaterar att investeringarna i forskning och utveckling som avser AI har ökat mycket kraftigt inom EU . har utvecklingen gått ännu snabbare i andra delar av världen.39 Kommissionens mål är att AI-investeringarna inom EU ska uppgå till . Ambitionen är att skapa ett ekosystem av excellens som täcker hela värdekedjan från forskning och utveckling till användning av AI. Kommissionen konstaterar att förutsättningarna på många plan är goda; inom EU finns högteknologiska forskningsmiljöer, en stark tech-industri, innovativa startup-företag och god tillgång på offentlig data. Sex åtgärder presenteras i vitboken för att främja AI-utvecklingen. •att anta en ny version av den samordnande handlingsplanen för AI •att främja etablerandet av test- och excellensmiljöer •att stötta universitet och forskningsmiljöer för att attrahera forskare och erbjuda världsledande mastersprogram •att etablera minst en europeisk digital innovationshubb per medlemsstat med hög specialisering mot AI samt att tillgängliggöra riskkapital för AI-utveckling via den europeiska investeringsfonden •att inrätta ett offentligt-privat partnerskap för AI, data och robotik samt •att förbereda ett särskilt program för att stötta offentlig sektor i upphandling av AI-system. COM (2020) 65 om artificiell intelligens - en EU-strategi för spetskompetens och förtroende. investerades i AI inom EU, medan motsvarande siffra för var 6,5 miljarder och 12,1 miljarder för . I vitbokens andra del presenterar kommissionen initiala resonemang för hur ett rättsligt ramverk för AI bör utformas. Det rättsliga ramverket ska bidra till att skapa ett ekosystem av förtroende för AI i . De främsta riskerna med AI handlar enligt kommissionen om skyddet för grundläggande rättigheter (inklusive rätten till skydd för privatliv och frånvaro av diskriminering), säkerhet samt frågor om tillförlitlighet. För att säkerställa en proportionerlig reglering förordar kommissionen att ett framtida regelverk för AI bör ha en riskbaserad utgångspunkt. Riskbedömningen bör beakta både vilken bransch AI-tekniken är tänkt att användas i och vilken typ av AI-tillämpning det rör sig om. Sektorer där betydande risker kan förväntas uppstå är till exempel hälso- och sjukvård, transport, energibranschen och delar av offentlig sektor. För tillämpad AI som bedöms medföra en hög risk anser kommissionen att krav bör ställas på förhandsgranskning, till exempel i form av obligatoriska tester, inspektion och certifiering innan en produkt får släppas på EU:s inre marknad. Utöver detta anger kommissionen att även efterhandskontroller kommer att behövas. För AI-tillämpningar med lägre risk kan ett system med frivillig märkning vara ett alternativ. Som ett första steg behöver en ordentlig analys göras över vilka risker med AI som behöver hanteras och hur befintliga regelverk möter dessa risker. För att möjliggöra en riskbaserad ansats behövs tydliga kriterier för att kunna skilja på AI-tillämpningar med olika risknivåer. Ett huvudspår i att utveckla ett gemensamt europeiskt etiskt och rättsligt ramverk har varit framtagandet av gemensamma etiska principer för AI. har det i enskilda medlemsstater publicerats en stor mängd principer och riktlinjer på temat etik inom AI. Bland upphovsmakarna finns allt från universitet och forskningsinstitut till privata tech-företag eller enskilda länders förvaltningar. Området är dock fortfarande under utveckling och ännu råder ingen internationell samsyn kring vad etisk AI innebär i praktiken. en kartläggning av 84 olika dokument med principer och riktlinjer för etik inom AI konstaterat betydande olikheter i bland annat hur etiska principer som öppenhet, rättvisa, att inte göra skada, ansvarsutkrävande och integritetsskydd ska tolkas, förstås och implementeras.40 Mot denna bakgrund har kommissionen sett det som angeläget och brådskande att det inom EU utvecklas gemensamma etiska principer för AI. Risken är annars att skillnader mellan olika medlemsstater försvårar och skapar hinder på EU:s inre marknad. Jobin, A., M. Ienca, et al. (2019). The global landscape of AI ethics guidelines. Nature Intelligence 1, , sid. 389-399. publicerade en expertgrupp utsedd av ett ramverk med etiska principer och tillhörande bedömningslista för utveckling och tillämpning av AI. Efter att gruppen, som bestod av drygt 50 internationella experter, tagit fram ett första utkast har 350 privata och offentliga aktörer givits möjlighet att testa och komma med synpunkter på de etiska riktlinjerna och den tillhörande checklistan innan den publicerades.41 innehåller sju etiska principer som beskrivs som centrala för att den fortsatta AI-utvecklingen ska vara säker och pålitlig. De rör 1) mänsklig medverkan och tillsyn, 2) teknisk robusthet och säkerhet under alla faser av ett AI-systems livscykel, 3) dataskydd och kontroll på data; varje medborgare ska ha full kontroll över sin data och att den inte används emot en själv, 4) transparens och öppenhet, 5) mångfald, icke-diskriminering och rättvisa, 6) nyttjande av AI för att lösa samhällsutmaningar, inte minst avseende hållbarhet och miljöfrågor samt 7) ansvarsskyldighet och ansvarsutkrävande. Kopplat till den etiska principen om dataskydd och kontroll på data innehåller checklistan påminnelser om en rad skyldigheter som följer av dataskyddsförordningen och som kan aktualiseras i utvecklingen och tillämpningen av AI-teknik. I checklistan nämns till exempel följande skyldigheter: •att utse ett dataskyddsombud och involvera dem tidigt i utvecklingsarbete, upphandlingar och implementering av AI-teknik •att genomföra en konsekvensbedömning om behandlingen av personuppgifter kan förväntas innebära en hög risk för enskilda individer •att beakta den grundläggande principen om uppgiftsminimering, i synnerhet när det rör sig om känsliga personuppgifter •att säkerställa människors grundläggande rättigheter så att det till exempel är möjligt att återkalla ett samtycke, att få felaktiga uppgifter rättade eller att få uppgifter raderade •att begränsa och kontrollera åtkomsten till data genom till exempel behörighetsstyrning och loggning •att vidta åtgärder som säkerställer inbyggt dataskydd och dataskydd som standard, till exempel genom kryptering, pseudonymisering, aggregering av data och anonymisering •att överväga integritetsrisker som kan uppstå löpande under AI-systemets livscykel eller kopplat till data som inte innehåller personuppgifter. The Assessment List for Trustworthy Artificial Intelligence () for self assessment. 3.2EU:s integritetsskyddspolitik – införandet av GDPR och brottsdatadirektivet en historisk reform Fundamentet i EU:s integritetsskyddspolitik är dataskyddsförordningen, GDPR, som började tillämpas och brottsdatadirektivet som införlivades i svensk rätt genom brottsdatalagen . Dataskyddsförordningen innehåller förstärkta rättigheter för enskilda, som ska kunna utöva insyn och ha kontroll över sina personuppgifter, och utökade skyldigheter för alla verksamheter som hanterar personuppgifter. Förordningen innehåller också helt nya verktyg för korrigerande befogenheter, bland annat kraftfulla sanktionsavgifter. Dataskyddsförordningen är unik på så sätt att den detaljerat reglerar bland annat dataskyddsmyndigheternas uppdrag och befogenheter och föreskriver att dataskyddsmyndigheten ska vara oberoende. Genom dataskyddsförordningen inrättades också den Europeiska dataskyddsstyrelsen, EDPB. Genom att EDPB beslutar om riktlinjer men även har mandat att fatta beslut i vissa gränsöverskridande ärenden har styrelsen ett stort mandat – både på policynivå och operativt. I praktiken har en stor del av den nationella suveräniteten när det kommer till tolkning och tillämpning av förordningen samt praxisbildning överlämnats till EDPB. Kommissionen menade i sin tvåårsutvärdering av dataskyddsförordningen att harmoniseringen mellan länderna ökar, men att det fortfarande behövs en mer enhetlig tillämpning i hela unionen. Kraven på harmonisering har i flera avseenden redan inneburit att behövt anpassa sina arbetssätt. Ett av de viktigaste stegen i EU:s integritetsskyddspolitik handlar om initiativet att förhandla fram dataskyddsförordningen, GDPR. i kraft men började tillämpas den 25maj 2018.42 Lika viktigt var en EU-gemensam reglering av personuppgiftshanteringen på det brottsbekämpande området genomfördes brottsdatadirektivet, som införlivades i svensk rätt genom brottsdatalagen den 1 augusti 2018.43 Genomförandet av den nya dataskyddsregleringen är historisk på flera sätt. Dataskyddsförordningen har lagt en grund för all personuppgiftshantering som även genomsyrar regleringen på det brottsbekämpande området och annan dataskyddsreglering. Förordningen innehåller utökade rättigheter för enskilda, som ska kunna utöva insyn och ha kontroll över sina personuppgifter. Dessa rättigheter motsvaras av utökade skyldigheter för alla som hanterar personuppgifter. Förordningen innehåller också helt nya verktyg för korrigerande befogenheter, bland annat kraftfulla sanktionsavgifter. Utöver att ange det regelverk som gäller på området och återupprepa gällande krav på ett starkt oberoende för dataskyddsmyndigheterna, kan det som gör reformen historisk sammanfattas i att dataskyddsförordningen •är en förordning och därmed direkt tillämplig som lag i samtliga medlemsstater •anger dataskyddsmyndigheternas uppdrag och befogenheter •inrättar en styrelse, Europeiska dataskyddsstyrelsen (EDPB), som utgör ett eget rättssubjekt, som har att fatta beslut om vägledningar och yttranden samt för tillsynsmyndigheterna bindande beslut i gränsöverskridande ärenden •innehåller omfattande bestämmelser om krav på harmoniserad tillämpning inom EU •föreskriver långtgående krav på samverkan mellan dataskyddsmyndigheterna •anger en tvistlösningsmekanism vid oenighet. Förordningen har i grunden påverkat företag, myndigheters och andra organisationers dataskyddsarbete liksom tillsynsmyndigheternas verksamhet. Förordningen gäller också för EES-länderna , och . och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (brottsdatadirektivet). I genomfördes direktivet genom brottsdatalagen (2018:1177) och brottsdataförordningen (2018:1202). trädde nya bestämmelser på kameraområdet i kraft genom kamerabevakningslagen (2018:1200), som ersatte den tidigare kameraövervakningslagen. 3.2.1Omfattande krav på samverkan och harmonisering inom EU Det har redan nämnts att dataskyddsförordningen har inneburit stora förändringar för tillsynsmyndigheterna. För att säkerställa ett kraftfullt genomförande regleras, som nämnts, myndigheternas uppdrag och befogenheter i förordningen.44 Förordningen ställer krav på en harmoniserad tillämpning inom EU och på långtgående samverkan mellan dataskyddsmyndigheterna. Detta säkerställs genom dataskyddsstyrelsen, EDPB. Styrelsen, som består av respektive lands tillsynsmyndighets chef och Europeiska datatillsynsmannen, , har till uppgift bland annat att ta fram vägledningar och yttranden. Dessa processas i någon av de närmare 15 arbetsgrupper som förbereder underlag för styrelsen. Beslut om vägledningar och yttranden med mera fattas genom omröstning och de nationella tillsynsmyndigheterna har därefter att anpassa den nationella praxisbildningen utifrån dessa. En ny ordning, som tar kraven på harmoniserad tillämpning till en ny nivå, är föreskrifter om en enhetlighetsmekanism som ställer krav på samarbete mellan dataskyddsmyndigheterna i ärenden som rör gränsöverskridande behandlingar.45 Ytterst finns en tvistlösningsmekanism som anger hur frågor ska processas och beslutas om medlemsstaterna inte kan komma överens om hur regelverkets ska tolkas och beslut utformas.46 Beslutsbefogenheterna för respektive medlemsstat utövas genom röstning och styrelsens beslut i medlemsstatens ärende blir bindande för tillsynsmyndigheterna. I praktiken innebär inrättandet av EDPB att en stor del av den nationella suveräniteten när det kommer till tillsynsmyndigheternas tolkning och tillämpning av förordningen samt praxisbildning har överlämnats till styrelsen. Utrymmet för de nationella tillsynsmyndigheterna att självständigt ge stöd och vägledning, att göra tolkningar av regelverket i ärendehanteringen och att utmejsla praxis är på så sätt inskränkt. Regelverket ökar kraven på tillsynsmyndigheten att bidra till en harmoniserad tillämpning. ökar behovet av att deltar och tar en aktiv roll i det unionsgemensamma arbetet, i syfte att få så stort genomslag som möjligt för svenska rättstraditioner, att kunna upprätthålla nationell praxisbildning och förvaltningsrättsliga principer. Utan en stark röst riskerar vi att behöva följa en utveckling som vi själva inte varit med och påverkat och som kan strida mot svensk praxis och rättstradition. 3.2.2Kommissionen menar att harmoniseringen behöver öka ytterligare I syfte att säkerställa efterlevnaden av förordningen genomför kommissionen utvärderingar . Den första genomfördes i anslutning till tvåårsdagen av dataskyddsförordningens införande, våren 2020.47 Sammanfattningsvis ansåg kommissionen efter införandet av dataskyddsförordningen att förordningen uppfyllt sina mål att stärka skyddet av den enskildes rätt till skydd av personuppgifter och att garantera det fria flödet av personuppgifter inom EU. Kommissionen konstaterar att harmoniseringen mellan länderna ökar, men att det fortfarande finns viss fragmentisering. Kommissionen pekar på att det framgent behövs en mer enhetlig tillämpning inom hela unionen och att inslagen av nationell lagstiftning behöver minska. För att förordningen ska nå sin fulla potential är det viktigt att skapa ett harmoniserat tillvägagångssätt för gränsöverskridande fall samt en gemensam europeisk datakultur. Kommissionen efterfrågar därför en ännu mer effektiv, harmoniserad hantering vid gränsöverskridande ärenden, samt pekar särskilt på behovet av större samstämmighet avseende förfarandet vid hantering Man vill också se ett ytterligare utökat samarbete mellan dataskyddsmyndigheterna, till exempel genom gemensamma utredningar. Dataskyddsmyndigheterna bedöms ha en balanserad användning av de stärkta korrigerande befogenheterna. Det konstateras dock att det finns en stor efterfrågan på mer praktisk vägledning och råd som rör tillämpningen av förordningen. Vissa områden pekas ut där behovet av stöd och vägledning bedöms vara särskilt stort eller där utveckling behövs. •Små och medelstora företag – stöd behövs och praktiska verktyg behöver tas fram, till exempel formulär för personuppgiftsincidenter samt förenklade behandlingsregister. •Forskning, hälsa och ny teknik – stöd behövs i form av riktlinjer för bland annat vetenskaplig forskning, AI och blockkedjeteknik Artikel 51–59 dataskyddsförordningen. Artikel 56, 60–62 dataskyddsförordningen. Artikel 65 dataskyddsförordningen. Ett (1) ärende har avgjorts efter tvistlösning, , Decision 01/2020 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding under Article 65(1)(a) GDPR | (europa.eu) COM (2020) 264 Meddelande från Kommissionen till och rådet: Dataskydd som en pelare för medborgarnas egenmakt och för den digitala övergången – tillämpning av den allmänna dataskyddsförordningen . •Utvecklingen av ny teknik– dataskyddsförordningen bygger på principer och omfattar ny teknik i takt med att tekniken utvecklas. De framtida utmaningarna består i att klargöra hur de beprövade principerna ska tillämpas på specifik teknik, såsom AI, blockkedjeteknik, IoT eller ansiktsigenkänning. Kommissionen uppmanar dataskyddsmyndigheterna att följa utvecklingen i ett tidigt skede. •Medborgarnas kontroll över sin egen data måste bli reell – enskildas rättigheter behöver stärkas bland annat när det gäller tillgång till och användning av data, till exempel rätten till information och radering av data. Åtgärder behöver vidtas för att underlätta utökad användning av dataportabilitet, och för att ge medborgarna större kontroll över vem som kan få tillgång till och använda maskingenererad data. •Särskilda insatser behöver riktas mot barn – exempelvis behöver frågor om samtycke från barn adresseras och det behövs tydligare riktlinjer gällande användning av barns data. •Överföring till tredje land – det är centralt att verka för att de verktyg som finns för överföring till tredje land används och utvecklas och framåt behövs fokus på att stärka dialogen med verksamheter utanför EU i syfte att stödja likriktningen av dataskyddsreglerna globalt. 3.2.3Konsekvenser av kraven på harmonisering för del De krav som ställs på harmonisering gäller medlemsstaterna. Olika tolkningar, rättsliga traditioner och nationella regelverk har gjort att tillsynsmyndigheterna går in i samarbetet inom Europeiska dataskyddsstyrelsen utifrån olika förutsättningar. Kraven på harmonisering gäller dock och det är genom dialog, men ytterst genom röstningsförfarande i EDPB, som vägen framåt läggs fast. Utöver löpande anpassning efter de gemensamma tolkningar som görs och beslut som fattas, har harmoniseringen för del bland annat inneburit att vi har fått anpassa vår tolkning av den så kallade one-stop-shopmekanismen. att ett ärende ska utredas där ett företag eller annan verksamhet har sitt huvudsakliga verksamhetsställe,48 och att ärendet så att säga flyttar med verksamheten om den etablerar sig eller byter huvudsakligt verksamhetsställe under en utrednings gång, vilket för del innebar att ett långt framskridet tillsynsärende rörande Google fick överlämnas till Irländska dataskyddsmyndigheten för vidare hantering.49 Som kommissionen pekar på i sin utvärdering krävs harmonisering i tillsynsmyndigheternas hantering av klagomål. Medlemsstater har haft olika processer för hantering av klagomål. En utredning har pågått om hur klagomål ska hanteras och beslut fattas inom EDPB om en gemensam hanteringsordning. Det kommer för del innebära att kommer att utreda klagomålen mer ingående och inleda tillsyn i väsentligt många fler fall . I fråga om överföring av personuppgifter till tredje land har i uttalat att enskildas rättigheter är starka och att det är en förutsättning för att deras rättigheter ska kunna tillgodoses att klagomål i sådana ärenden utreds och att myndigheternas korrigerande befogenheter utnyttjas om utredningen skulle visa att en otillåten överföring av medborgarnas uppgifter sker till . Efter domen har ett stort antal klagomål som rör olaglig överföring av personuppgifter till kommit in till tillsynsmyndigheterna.50 är ansvarig tillsynsmyndighet i sex av dessa ärenden. Samtliga klagomål samordnas genom en särskild arbetsgrupp inom EDPB i syfte att hantera och bedöma dessa på ett enhetligt och harmoniserat sätt. Kraven på en enhetlig och harmoniserad hantering och bedömning har även i gränsöverskridande ärenden lett till att medlemsstaterna – även –nu utreder dem och inleder tillsyn i väsentligt högre utsträckning . Artikel 56.1 dataskyddsförordningen. drev i EDPB uppfattningen att ett påbörjat tillsynsärende av bland annat effektivitets- och förutsebarhetsskäl bör avslutas av den tillsynsmyndighet som inlett ärendet, även om ett företag under utredningens gång flyttar sitt huvudsakliga verksamhetsställe. Efter omröstning i EDPB landade dock styrelsen i uppfattningen att ärendet ska flyttas om det huvudsakliga verksamhetsstället flyttar. Drygt 100 klagomål som rörde påstådd överföring av personuppgifter till lämnades efter Schrems II-domen in av intresseorganisationen (None of Your Business), som förestås av M. Schrems. 3.3Exempel på politik inom angränsande lagstiftningsområden Exempel på EU-lagstiftning som ligger nära integritetsskyddsfrågorna är NIS-direktivet, e-privacydirektivet samt direktivet om öppna data, det så kallade PSI-direktivet. För att få ett tillämpbart, effektivt och sammanhållet regelverk på integritetsskyddsområdet är det angeläget att övriga lagstiftningsprodukter på EU-nivå harmonierar med förordningen. Det har, som vi har sett, genomförts ett stort antal initiativ inom EU som rör digitalisering och teknikutveckling, men också integritetsskyddsfrågor. Det finns också ett antal initiativ inom angränsande lagstiftningsområden. Denna utveckling inverkar sällan direkt på utvecklingen inom integritetsskyddsområdet, men när lagstiftningsområden angränsar till varandra och förhandlingsarbetet sker isolerat, finns risk för att regelverken inte harmonierar, medför glapp, eller i alla delar inte går att förena. I sådana fall får myndigheter och verksamheter ett stort ansvar för att tolka och ta ställning i regelkonflikter. ska dataskyddsförordningen tillämpas för personuppgiftsbehandlingen och finns då kompletterande nationell överlappande reglering kan det skapa otydlighet i hur regelverken ska tillämpas. Ett exempel är hur reglerna om samtycke till kakor enligt lagen om elektronisk kommunikation förhåller sig till samtyckesregleringen enligt dataskyddsförordningen. Frågorna rör bland annat hur långt samtycket sträcker sig enligt respektive regelverk och om det ställs samma krav på samtycke enligt lagen om elektronisk kommunikation som enligt dataskyddsförordningen. Lagstiftning som ligger nära eller i vissa fall specifikt adresserar integritetsskyddsfrågorna är till exempel NIS-direktivet, e-privacydirektivet och förhandlingarna om en ny e-privacyförordning samt direktivet om öppna data, det så kallade PSI-direktivet. Även initiativen inom betaltjänstmarknaden och genomförandet av det andra betaltjänstdirektivet, PSD2, visar hur politiken inom EU verkar för ett fritt flöde av uppgifter, att minska hinder, skapa större förutsättningar för fler aktörer och att det krävs harmoniering mellan regelverken. På nationell nivå ställer det krav på samverkan (i olika konstellationer) mellan myndigheter, bland annat , Myndigheten för samhällsskydd (MSB) och beredskap, (), Säkerhetspolisen, Myndigheten för digital förvaltning (DIGG) och .