prop · H903203 · 2022-03-30 00:00:00 — •”Vilseledande säkerhet” – AI-program som förebygger och avbryter pågående cyberattacker genom att vilseleda attackerarna, exempelvis genom att skapa stora neurala nätverk av fejkade datorer, enheter och tjänster. AI innebär risker för ökad övervakning och en inskränkning av den personliga integriteten. Rätt använd kan AI-baserad säkerhetsteknik stärka integritetsskyddet. Nya användningsområden för gammal teknik, exempelvis mobila nätverk, har skapat större fokus på säkerhet även på teknikområden som tidigare lämnats förhållandevis öppna och osäkra, till exempel IoT, där många produkter tidigare visat sig ha bristande säkerhet. Edge computing och edge storage för också med sig krav på edge security, det vill säga att personuppgifter kan säkras direkt i de enheter där de samlas in. I bästa fall kan edge security innebära att de registrerade får ökad kontroll över sina egna personuppgifter.265 Ny krypteringsteknik och ökad prestanda för befintlig krypteringsteknik utvecklas kontinuerligt. Tekniker för pseudonymisering och kryptering anges också i dataskyddsförordningen som exempel på säkerhetsåtgärder som bör övervägas för att säkerställa skyddet för personuppgifter.266 Krypteringslösningar kan användas både av verksamheterna som samlar in och lagrar personuppgifter, men också av enskilda individer.267 Nya och fler lättanvända krypteringslösningar har utvecklats . Det bedöms underlätta förutsägbarheten och ge ökad kontroll över vem som har tillgång till vilka uppgifter och vem som är avsändare och mottagare för vissa uppgifter. När det gäller säkerhetslösningar kan, som tidigare nämnts, den nya tekniken också utnyttjas för att åstadkomma skada, exempelvis utpressningsattacker. En förutsättning är ofta att hotaktörer ligger steget före och utnyttjar sin kunskap om teknikutvecklingen för att hitta svagheter i befintliga säkerhetslösningar. Kvantdatorer med mycket större beräkningskraft än dagens superdatorer, anses av vissa bedömare kunna sätta många av dagens ”säkra” krypteringsalgoritmer ur spel. Teknikområdet innefattar därför även det som kallas ”post-quantum cryptography”, vilket innebär utveckling av kryptografiska algoritmer som ska kunna stå emot attacker med de kvantdatorer som utvecklas.268 En kvantdator kan lösa komplexa problem mycket snabbare än en vanlig dator. En beräkning som skulle ta kan istället göras . Utvecklingen av kvantdatorer är i en tidig utvecklingsfas, men har lockat till sig resursstarka investerare i form av både statliga aktörer och globala tech-företag. Såväl inom EU som i svensk forskning har kvantdatorer hög prioritet. Kompletta system för kvantberäkningar, särskilt sådana som är kommersiellt hållbara, ligger dock troligtvis decennier bort. Omfattande utmaningar handlar till exempel om att skala upp systemen, att utveckla kontrollsystem, att få stabila system och att undvika störningar från omgivningen, att skapa metoder för effektiv transformering av stora mängder data i ”klassiskt format” samt att designa algoritmer och utveckla mjukvara.269 263. AI-in-Cybersecurity_Report_20190711_V06.pdf. 264. ligence-startups-market-map/. 265. cy-and-security/. Artikel 32.1 (a) dataskyddsförordningen. 267. system/uploads/attachment_data/file/786244/HO_OSCT_Future_Tech_ Trends_Final_Updated_13Mar19.pdf. Komet informerar 2020:30 Den nya tekniken – så fungerar den. 5.7.3 Teknik baserad på blockkedjor Blockkedjor kan beskrivas som teknik som används för att säkra och öka kontrollen över information, det kan till exempel handla om olika lösningar för identifiering, ökad spårbarhet och minskad risk för manipulering. En viktig funktion av tekniken är att kunna minska antalet mellanhänder i en leverantörskedja och därmed minska risken för felkällor. förknippas tekniken i första hand med bitcoin och andra kryptovalutor, men andra användningsområden utvecklas i snabb takt, både inom privat och offentlig sektor. Förenklat kan en blockkedja beskrivas som en distribuerad lista (en liggare), uppdelad i block, över transaktioner som berör ett digitalt objekt. Att listan är distribuerad innebär att den finns i identiska exemplar på många datorer. Att den kallas för kedja beror på att den är indelad i block, där varje nytt block sammanlänkas och innehåller ett kondensat (hash) av det föregående blocket. En jämförelse kan göras med sidorna i en kassabok, där varje ny sida börjar med summan av transaktionerna på den föregående. I en blockkedja är matematiken mer avancerad. Varje dator signerar med sin elektroniska signatur. Syftet är att det ska vara omöjligt att förfalska informationen då varje ny transaktion måste godkännas av ett antal datorer i blockkedjans nätverk. Dessa datorer har redan blockkedjan med alla tidigare transaktioner, och kan därför kontrollera att inga värden har ändrats sedan sist. De kan också kontrollera att den som gör transaktionen har rätt att göra det. Om allt stämmer godkänner de transaktionen och lägger den till listan (det aktuella blocket). Som regel krypteras alla transaktioner, blockkedjan lagras i krypterad form och det finns inte någon central server.270 Ur perspektivet personlig integritet innebär tekniken och de nya användningsområdena både möjligheter och utmaningar. Möjligheter som lyfts fram av internationella forskare handlar bland annat om datasäkerhet, möjligheten att verifiera att data inte har manipulerats, transparens samt bred tillgänglighet.271 Personuppgifter som hanteras med blockkedjeteknik kan exempelvis vara svårare att komma åt för hotaktörer, då all data inte är samlad på en central server. För att manipulera data i en blockkedja behöver man göra intrång i flera datorer i nätverket och dessutom forcera krypteringen. Den inbyggda spårbarheten kan också medföra att det blir både enklare och säkrare att hantera medgivanden när personuppgifter ska hanteras av flera olika aktörer och i olika syften. Tekniken kan också möjliggöra effektivare arbetsflöden både för verksamheter och för deras slutanvändare.272 finns en rad dataskyddsutmaningar med blockkedjeteknik. En central fråga rör hur dataskyddsförordningens grundläggande principer om uppgiftsminimering och rättslig grund kan kombineras med en teknik som är konstruerad för att information ska finnas för alltid och vara utspridd. Andra utmaningar handlar till exempel om hur rätten att bli bortglömd ska hanteras i en blockkedja där data lagras i samtliga datorer i blockkedjans nätverk, vem som är personuppgiftsansvarig i ett system där data är distribuerad i ett stort nätverk med många datorer och hur kontroll av tredjelandsöverföringar av personuppgifter i en publik blockkedja, där alla datorer i nätverket kan komma åt aktuella data, kan genomföras. Det finns också andra rättsliga utmaningar, som till exempel i vilken mån så kallade smarta kontrakt som bygger på blockkedjor svarar mot traditionell lagstiftning. Ett smart kontrakt är ett kontrakt i form av ett datorprogram som verkställer åtagandena i kontraktet och som är baserat på en blockkedja. Parterna undertecknar kontraktet med elektroniska signaturer, och varje åtgärd som det smarta kontraktet sedan vidtar måste godkännas av ett antal parter i blockkedjans nätverk.273 Andra utmaningar rör skalbarhet, hållbarhetsaspekter (då tekniken kräver mycket el), att det är oklart hur säkerheten ser ut på samt risken att blockkedjor missbrukas av totalitära regimer.274 Just nu pågår ett intensivt arbete bland både privata och statliga aktörer för att finna lämpliga lösningar på dessa, och andra, regulatoriska och tekniska utmaningar med blockkedjetekniken. Komet informerar 2020:30 Den nya tekniken – så fungerar den. Komet informerar 2020:30 Den nya tekniken – så fungerar den. Nedan ges kortfattade exempel på konkreta utvecklings- och användningsområden för blockkedjeteknik: •Applikationer för att möjliggöra enklare, snabbare och säkrare finansiella transaktioner. tekniken utvecklas av centralbanker, privata banker och andra aktörer. Den svenska driver till exempel ett pilotprojekt som undersöker teknik för en digital centralbankspeng, en e-krona. Den tekniska lösningen kommer att baseras på den teknik som används i blockkedjor.275 Ett annat aktuellt delområde inom finansområdet kallas ”decentraliserad finans”, vilket innebär en form av finansiering som inte är beroende av centrala finansiella mellanhänder som mäklare, börser eller banker, utan istället använder smarta kontrakt på blockkedjor. •Regeringen har gett Lantmäteriet och Myndigheten för digital förvaltning, DIGG, i uppdrag att testa ny teknik för automatisering i den offentliga förvaltningen. Inom ramen för uppdraget ska myndigheterna testa om blockkedjeteknik kan vara ett sätt att öka transparensen. Lantmäteriet har tillsammans med bland annat drivit ett utvecklingsprojekt som vunnit internationell uppmärksamhet. Projektet genomfördes och innefattade världens första helt digitala fastighetsöverlåtelse med hjälp av en blockkedjelösning.276 •Inom hälso-och sjukvårdssektorn utvecklas bland annat applikationer för säker hantering av patientjournaler och annan känslig information, där det krävs en hög säkerhet kring vem som kan komma åt känsliga personuppgifter. Den information som delas är inte ursprungsdokumenten, som till exempel register och patientjournaler, utan verifikationer av dessa.277 Komet informerar 2020:30 Den nya tekniken – så fungerar den. 276. 329b01e46e61071/publikation-swe-fastighetskop-och-lagfart-ge- nom-en-blockkedja--governance-och-juridik-2018.pdf. •Inom området logistik och försörjningskedjor används blockkedjeteknik bland annat för att reducera antalet mellanhänder och riskerna för misstag. en blockkedja, med dess distribuerade liggare, kontrolleras att data som delas av alla parter i nätverket är korrekt – automatiskt och i alla steg.278 •Inom media och underhållning används blockkedjeteknik bland annat för förenklad hantering av upphovsrättigheter och närliggande rättigheter. Blockkedjebaserad teknik gör det möjligt för artisterna att på ett mer transparent sätt följa streamingföretagens användning av rättighetsskyddat material, vilket gör det möjligt för artisterna att kräva en rättvis ersättning.279 Sammanfattningsvis rymmer blockkedjor och annan teknik som kan förbättra säkerheten både möjligheter och utmaningar. Ofta gynnas dataskyddet av en förstärkt informationssäkerhet, men som blockkedjetekniken visar kan det också finnas motsättningar mellan en ökad säkerhet och ett gott dataskydd, som också innefattar krav bland annat på transparens och information. 278. /2020/641544/EPRS_STU(2020)641544_EN.pdf sid.10-11. 279. dessa-10-mojliga-anvandningar-for-blockchain/. 5.8 Teknik för att förstöra data En konsekvens av att lagringskapaciteten har ökat och att kostnaderna för lagring har minskat är att incitamenten att förstöra data minskat. förstördes gammal data ofta för att hushålla med lagringsutrymme och göra plats för ny. Inom övriga områden har teknikutveckling inom ett område drivit på utvecklingen inom andra områden. När det gäller teknik för att förstöra av data har utvecklingen gått i motsats riktning, och väsentligt större fokus har lagts på ny teknik för att återskapa raderad data, än teknik för att permanent förstöra den. En konsekvens av att lagringskapaciteten har ökat och att kostnaderna för lagring har minskat är att incitamenten att förstöra data minskat. förstördes gammal data ofta för att hushålla med lagringsutrymme och göra plats för ny. Utvecklingen inom de övriga stegen i livscykeln har inte drivit på, och matchas inte heller av, en motsvarande utvecklingstakt av ny teknik och nya metoder för att förstöra personuppgifter.280 Tvärtom blir uppgiften att permanent förstöra – utplåna –personuppgifter allt svårare i takt med att uppgifter lagras på fler ställen som är geografiskt utspridda och kontrolleras av flera olika aktörer, kontinuerligt transporteras inom och utanför olika verksamheter via både trådlösa och fasta nät, och bearbetas med allt mer avancerad och mindre transparent teknik. En annan faktor som försvårar möjligheterna att permanent förstöra data är utvecklingen av allt mer effektiv teknik för att återskapa raderad, eller på annat sätt förlorad, data. Även här finns, som beskrivits ovan när det gäller till exempel blockkedjor, alltså en potentiell motsättning mellan säkerhetsåtgärder och dataskydd. Även om innehållet på en hårddisk (det vanligaste mediet för datalagring) eller annat lagringsmedium har raderats eller skrivits över brukar det gå att rekonstruera innehållet med speciella metoder. Det krävs därför särskilda åtgärder för att utplåna det som har raderats från en hårddisk helt och göra det oläsbart. Även en fil som har skrivits över med en annan fil kan avläsas helt eller delvis. Vanlig radering av en fil på en disk innebär egentligen inte radering alls. Det innebär bara att filen stryks ur filkatalogen och det utrymme på hårddisken där den finns betraktas som ledigt. Filens innehåll (ettor och nollor) ligger ändå kvar tills det skrivs över av en annan fil, och det kan avläsas av program som bortser från filkatalogen.281 Överskrivning är en väl beprövad teknik som fortfarande används för att permanent förstöra data på en hårddisk eller annat lagringsmedium. Det sker vanligen genom att man skriver över datamängden med meningslösa sifferserier. Syftet är att de raderade tecknen ska bli omöjliga att urskilja, ens med specialverktyg. För att det ska bli omöjligt att rekonstruera filen krävs vanligtvis att överskrivning utförs – vilket kräver tid och tar systemresurser i anspråk.282 Det finns därför risk för att data som faktiskt ska raderas finns kvar på ett sätt som dels inte uppfyller regelverkens krav på gallring, dels innebär ett ansvar för att säkerställa säkerheten för uppgifterna . Här förtjänar att nämnas att alla uppgifter inte får utplånas eftersom det inom offentlig verksamhet finns särskilda krav på bevarande, ibland över , ibland för evigt. Data ska då tas omhand för arkivering. Även för arkiverad data kvarstår ansvaret för att säkerställa säkerheten för uppgifterna . Det ansvaret ökar i takt med teknikutvecklingen eftersom allt mer data lagras i elektroniska arkiv. Det följer av principen om uppgiftsminimering i dataskydds- förordningen att data inte får sparas längre än nödvändigt. 5.8.1Teknik för att återskapa raderad eller på annat sätt förlorad data Relativt lite uppmärksamhet synes ges åt utvecklingen av nya och effektiva metoder att förstöra personuppgifter så att de inte kan återskapas igen. Desto mer uppmärksamhet får området ”computer forensics” som bland annat innefattar teknik för att återskapa raderade filer. Tekniken används exempelvis av polis och säkerhetstjänster för att återskapa raderad information i misstänkta personers datorer och mobiltelefoner och av privatpersoner som önskar rädda filer som raderats av misstag. Men den kan också användas av hackers för att återskapa och stjäla känslig information. Nedan ges kortfattade exempel på konkreta utvecklings- och användningsområden för teknik för att återskapa data.283 •Återskapa raderad data från fysiska lagringsmedium som hårddiskar – exempelvis en raderad fil eller allt innehåll på en formaterad hårddisk. •Återskapa raderad data från molnet – via buffertminne (minne som mellanlagrar sådant som ska användas ). •Analysera och extrahera data från en dators arbetsminne (det minne som innehåller aktiva program och de data som bearbetas när datorn används). Denna typ av minne töms vanligen på data när datorn stängs av. Allt som ska sparas måste därför lagras på hårddisk (eller annat lagringsminne).284 •”Data carving” – teknik för att söka och återställa skadade filer, i synnerhet filer som har förlorat den information som beskriver innehållet (metadata), och som därför måste sökas enbart med •Extrahera data från krypterade filer. Sammanfattningsvis påverkas den personliga integriteten eftersom uppgifter som raderats, men som relativt enkelt kan återskapas, fortsatt utgör en integritetsrisk. 6.Hur bra är integritetsskyddet ? En viktig fråga givet de utmaningar och risker som beskrivits i föregående avsnitt om teknikutvecklingen är hur bra integritetsskyddet är . , myndigheter och andra organisationer anpassat sitt skydd av personuppgifter så att det går hand i hand med den digitala utvecklingen? I det här kapitlet beskrivs ett antal iakttagelser från olika delar av IMY:s verksamhet. Det handlar om undersökningar vi gjort, om vår och andra dataskyddsmyndigheters tillsynsverksamhet, om anmälda personuppgiftsincidenter, klagomål och begäran om förhandssamråd samt remisser vi svarat på. 6.1Privata och offentliga verksamheters arbete med dataskydd efter att dataskyddsförordningen började tillämpas genomförde en undersökning av hur långt dataskyddsarbetet kommit i svenska företag, myndigheter och andra organisationer. Resultatet visade att de flesta fått grundläggande strukturer och rutiner på plats, men att det fortfarande i många verksamheter saknades ett systematiskt och kontinuerligt arbete. Branscher som hade större utmaningar var generellt kommuner och regioner, transportsektorn, hotell- och restaurangbranschen samt småbolag med mindre än 10 anställda. Genomgående beskrev företag, myndigheter och andra organisationer att de största utmaningarna i dataskyddsarbetet då handlade om att få till fungerande processer i det löpande arbetet och att tolka regelverket. En undersökning som genomfördes visade att medborgare har god kunskap om att personuppgifter samlas in och används men upplever sig ha bristande kännedom om hur uppgifterna används. leder till att drygt sju av tio medborgare känner en viss eller stor oro för hur deras personuppgifter används. IMY:s övergripande bedömning är att det, efter att dataskyddsförordningen började tillämpas, fortfarande i många verksamheter finns omfattande brister som rör grundläggande skyldigheter i dataskyddsarbetet. De drygt 500 sanktionsavgifter som utfärdats inom EU visar att de vanligaste överträdelserna handlar om att de grundläggande principerna inte följs, att rättslig grund för behandlingen saknas, att enskildas rättigheter inte hanteras som de ska eller att säkerhetsåtgärderna varit otillräckliga. Drygt 11 000 personuppgiftsincidenter har anmälts i sedan dataskyddsförordningen började tillämpas. En viktig slutsats från anmälningarna är att många incidenter orsakas av den mänskliga faktorn. Det accentuerar behovet av att relevanta it-säkerhetsåtgärder kompletteras med löpande utbildning och andra åtgärder för att öka kunskapen och medvetenheten hos medarbetarna. Av de drygt 7 500 klagomål som skickats in i rör ungefär en fjärdedel de rättigheter som förordningen ger medborgarna. Den vanligaste rättigheten som berörs i klagomålen är rätten till radering och därefter rätten till information. Andra vanliga klagomål handlar om bristande säkerhet eller att medborgare ifrågasätter om verksamheterna har rätt att hantera personuppgifter på det sätt de gör, det vill säga om det finns rättslig grund. Bland de förhandssamråd som inkommit till myndigheten återfinns flera där verksamheten önskar använda teknik för ansiktsigenkänning och biometriska uppgifter. Totalt sett är det dock få verksamheter som begärt förhandssamråd, vilket tyder på att kompetensen att genomföra konsekvensbedömningar behöver öka. En av de mest centrala och mest frekvent återkommande synpunkterna i de remisser svarat på har rört behovet av att i lagstiftningsarbetet göra en ingående integritetsskyddsanalys. Ju mer genomarbetad nationell lagstiftning som kompletterar dataskyddsförordningen är, desto enklare blir det för företag, myndigheter och andra organisationer att tolka och tillämpa dataskyddsreglerna. har gjort ett antal undersökningar i syfte att få en bild av hur det ser ut med integritetsskyddet efter dataskyddsreformens genomförande. Många verksamheter arbetar systematiskt och strukturerat med sitt dataskyddsarbete, men vi kan konstatera att det på många håll finns mycket kvar att göra. Att det finns missnöjda medborgare identifieras genom de klagomål som kommer in till myndigheten och brister kan konstateras dels genom de rapporter om personuppgiftsincidenter som löpande anmäls till myndigheten, dels genom de granskningar som myndigheten har genomfört och som har genomförts inom EU och framåt. I detta kapitel lämnas en sammanfattning av de iakttagelser som gjorts. 6.1.1Iakttagelser från nationella integritetsrapporten med mera Den nationella integritetsrapporten 2019286 bygger på genomförda undersökningar med medborgare och verksamheter efter att dataskyddsreformen genomfördes.287 När det gäller verksamheterna var de iakttagelser som gjordes att vissa branscher syntes ha kommit längre i sitt integritets- och dataskyddsarbete än andra. Bland branscher som generellt uppgavs ha kommit längre återfanns exempelvis bank- och finans, it- och telekom, utbildningsföretag och privata vård- och omsorgsföretag. Branscher som hade större utmaningar var generellt kommuner och regioner, transportsektorn, hotell- och restaurangbranschen samt småbolag med mindre än 10 anställda. Representanter för verksamheterna, oftast dataskyddsombud, bedömde att implementeringen av dataskyddsförordningen gått bra och majoriteten av de tillfrågade uppgav att man hade grundläggande riktlinjer och rutiner på plats. var ett mer systematiskt arbete med integritets- och dataskyddsfrågorna i verksamheten. Det framkom även att den största utmaningen för verksamheterna var att få till fungerande rutiner och processer. Datainspektionens rapportserie 2019:2 Nationell Integritetsrapport . Här beskrivs hur väl implementeringen genomförts i verksamheterna, medborgarnas upplevelser redovisas i avsnitt 6.2.Verksamheterna omfattade både verksamheter med och utan dataskyddsombud. Slutsatserna var i huvudsak desamma. Ytterligare en utmaning för verksamheterna var kopplat till det nya regelverket och tolkningarna av det. Det fanns fortsatt stort behov av stöd och vägledning kring bland annat rättslig grund, säkerhetsåtgärder, regler för kamerabevakning samt gränsdragningen mellan personuppgiftsansvarig och personuppgiftsbiträde. Det konstaterades också att medarbetare behöver fortsatt och kontinuerlig utbildning och kompetensförstärkning i dataskyddsfrågor. Bilden bekräftas av andra undersökningar och i bland annat rapporten data! anges att kunskapen och medvetenheten om de nya dataskyddsreglerna har blivit bättre, men fortfarande behöver höjas i de flesta organisationer. Ett problem uppges vara att kunskap om dataskydd inte sällan finns hos en liten grupp av specialister och ibland enbart hos organisationens dataskyddsombud.288 Detta förstärker bilden av att det fortfarande behövs ett mer systematiskt arbete med integritets- och dataskyddsfrågor i många verksamheter. Implementeringen av dataskyddsförordningen har av verksamheter i huvudsak bedömts gå bra. har dock bedömt att dataskyddsförordningen har medfört stora utmaningar och kostnader för företagen. I många fall har anpassningarna lett till att dataskyddet förbättrats avsevärt. I andra fall har det lett till ökad byråkrati utan någon egentlig förbättring av skyddet för enskilda.289 Fortsatt osäkerhet kring vad som är tillåtet kan enligt Svensk Näringsliv ha en tillbakahållande effekt i verksamheterna som går längre än vad som är motiverat för att skydda enskilda. De utmaningar som beskrivs handlar bland annat om vaga och svårtolkade bestämmelser, att det finns brister i harmoniseringen mellan medlemsstaterna som påverkar företag med verksamheter i flera länder negativt, och att det saknas vägledning och råder omfattande oklarheter kring internationella dataflöden. Utifrån den nationella integritetsrapporten kan sammanfattningsvis konstateras att det 2019 fortfarande fanns mycket kvar att göra i många branscher och att kunskaperna i dataskyddsfrågor behövde förbättras. Medarbetarna uppgavs utgöra en svag länk och organisatoriska åtgärder i form av utbildning behöver vidtas.