prop · H903203 · 2022-03-30 00:00:00 — Då det bedömdes saknas lagstöd för en sådan behandling lämnade råd om att undersöka mindre integritetskänsliga metoder för att identifiera studenterna och att säkerställa att den lösning som väljs inte innebär ett betydande intrång i den personliga integriteten. I samband med inspelning av telefonintervjuer i kvalitets- och uppföljningssyfte har myndigheten lämnat råd som handlar om att säkerställa att det finns rättslig grund för behandlingen och att principen om uppgiftsminimering beaktas genom att inte samla in fler uppgifter än vad som är nödvändigt för att uppnå syftet. Även i detta sammanhang har råd lämnats om tydlig information, radering, samt åtkomstkontroll och behörighetsstyrning. Sammanfattningsvis kan konstateras att det har varit frågan om förhållandevis få förhandssamråd som hanterats av sedan dataskyddsregleringen infördes . Givet den snabba tekniska utvecklingen och att kraven på konsekvensbedömning305 borde träffa ett stort antal verksamheter, behandlingssituationer och utvecklingsinitiativ som pågår, kan konstateras att det sannolikt finns ett stort mörkertal kring såväl konsekvensbedömningar som förhandssamråd. Några av de tillsynsärenden som har avslutats visar också på brister när det gäller konsekvensbedömning och förhandssamråd. Se närmare om konsekvensbedömning, bilaga 1. 6.2Oron för hur personuppgifter används ökar I den nationella integritetsrapporten riktades en större undersökning till medborgare. kunde konstatera att dataskyddsförordningen var relativt välkänd bland medborgarna, att det fanns en god kunskap om att personuppgifter samlas in och används, men att det fanns en lägre kännedom om hur uppgifterna används. Detta leder till att drygt sju av tio medborgare känner en viss eller stor oro för hur deras personuppgifter används. Enligt undersökningen anser medborgare att finansiella uppgifter och hälsoppgifter är särskilt känsliga och det finns en uttalad och återkommande oro kring att använda sitt bankkort på nätet. Även insamling av personuppgifter för riktad reklam skapar oro. Förtroendet för olika verksamheters hantering av personuppgifter varierar i stor utsträckning. Störst förtroende har medborgarna för personuppgiftshanteringen inom vård, myndigheter och banker. Lägst förtroende åtnjuter appar, sociala medier och sökmotorer. Det finns demografiska skillnader i vilken kunskap som finns, hur stor oro man har och hur man skyddar sina personuppgifter. Vuxna personer i åldern och högskole- och universitetsutbildade känner i högre grad till dataskyddsförordningen, vad de har för rättigheter och hur deras personuppgifter används. Äldre, och personer med låg utbildning upplever sig i större omfattning ha lägre kunskap om hur deras personuppgifter används, och upplever även större oro. Den del av befolkningen som använder internet sällan eller inte alls utgörs i högre grad av äldre, personer med lägre hushållsinkomst och utbildning, kvinnor samt boende på landsbygden. anges också att ökad kunskap om hur datadelning går till ökar villigheten att dela vissa data. Det framkommer också att av svenskarna är negativa till företags insamling, men att de med högre kunskap i högre utsträckning gör aktiva val för att till exempel kunna surfa anonymt och är mer positiva till registrering. IMY:s undersökning tyder också på att ökad kunskap medför att man i ökad utsträckning anammar de nya rättigheter som dataskyddsförordningen medfört. Bland personer i åldern 18–har utnyttjat någon av rättigheterna i dataskyddsförordningen jämfört i befolkningen som helhet. En slutsats i rapporten data! är att en ökad trygghet – som kommer av vana, frekvent användning och kunskap – tycks påverka hur positiv man är till att dela med sig av sina data vilket sannolikt innebär att internetanvändares inställning kan påverkas genom ökad kunskap och ökad användarvana. I den senaste upplagan av och internet framkommer att pandemin har haft effekt på medborgarnas oro. Allt fler har jämfört med tidigare mätningar uppgivit att de känner sig oroade över att få sin integritet kränkt av storföretag på nätet, men också av myndigheter. Känslan av att vara övervakad på nätet har vuxit under pandemin. I rapporten konstateras också att oron är betydligt högre för den digitala integriteten bland dem i privat sektor jämfört med dem offentlig sektor. Generellt är enligt rapporten män mer oroliga än kvinnor över att få sin digitala integritet kränkt på nätet.306 Trots oron och en medvetenhet om att man behöver värna sina personuppgifter delar många med sig av sina personuppgifter. Detta brukar kallas för integritetsparadoxen. Anledningen till att man delar med sig av uppgifterna trots upplevd oro varierar, men bedöms tillgången till den tjänst som erbjuds vara så attraktiv att oron får stå tillbaka. Det saknas i vissa fall också kunskap om hur man kan skydda sina uppgifter. Alternativet blir då att antingen dela sina uppgifter eller helt avstå från tjänsten. Den nationella integritetsundersökningen visar att män och personer i åldern är överrepresenterade bland dem som ibland eller alltid gör aktiva val för att undvika att surfvanor samlas in medan kvinnor och personer i åldern 65-79 är överrepresenterade bland dem som uppger att de ofta eller ibland helt avstår från att använda en digital tjänst om de känner osäkerhet kring hur deras personuppgifter kommer att hanteras. ; Svenskarna och Internet 2020, internetstiftel- sen-svenskarna-och-internet-2020.pdf. 6.3Integritetsskyddet i lagstiftningsprocessen – vanliga remissynpunkter har svarat på ett stort antal remisser och delningar. Aktiviteten var särskilt stor i samband med anpassningen av nationell rätt till dataskyddsreformen, då all nationell reglering som rör behandling av personuppgifter behövde anpassas till förordningen och dataskyddslagen och implementeringen av brottsdatadirektivet. Myndigheten deltar även med experter i centrala statliga utredningar där myndighetens sakkunskap är särskilt efterfrågad. Därutöver konsulteras myndigheten ofta under hand i statliga utredningar. Lagstiftaren har en central roll i att beakta integritetsskyddsaspekter i lagstiftningsarbetet. Detta är särskilt centralt då det finns en stor komplexitet i regelverken. Det kan vara ett komplext samspel mellan •dataskyddsförordningen – som är primärt regelverk när det gäller personuppgiftsbehandling, •dataskyddslagen – som kompletterar dataskyddsförordningen och innehåller närmare nationella föreskrifter, men är subsidiär i förhållande till annan nationell reglering, •brottsdatalagen och särskilda registerförfattningar på det brottsbekämpande området – som gäller för brottsbekämpande verksamhet, •sektorspecifika unionsrättsakter – som ofta har ett begränsat sektorsperspektiv och förhandlas inom det departement som ansvarar för respektive sakfråga och som genomförs genom nationella bestämmelser, •sektorsspecifika regelverk – som kompletterar dataskyddsförordningen och tas fram inom ansvarigt departement där sakfrågan står i fokus, •eventuella kollektivavtal – som reglerar förhållandena mellan arbetsmarknadens parter och som också kompletterar dataskyddsförordningen i de delar som rör dataskydd samt •offentlighets- och sekretesslagen – som ibland medför hinder mot att uppgifter lämnas ut till annan part om sekretessbrytande bestämmelser saknas (även om ändamålen i och för sig skulle medge att utlämnande sker). En av de mest centrala och mest frekvent återkommande remissynpunkterna från har rört behovet av att i lagstiftningsarbetet göra en integritetsskyddsanalys. Myndigheten har återkommande också angett att lagstiftaren med fördel kan göra en konsekvensanalys avseende dataskydd i syfte att identifiera risker och, vid behov, införa lämpliga skyddsåtgärder i lagstiftningen i syfte att minska riskerna och säkerställa de enskilda individers grundläggande rättigheter. 6.3.1.1En integritetsskyddsanalys bör genomföras vid lagstiftning En väl genomarbetad lagstiftningsprodukt som har tagit ställning till integritetsskyddsaspekterna förenklar i många fall för företag myndigheter och andra organisationer som i nästa steg ska tillämpa lagstiftningen och minskar risken för tolkningsproblem.307 Vanligen genomförs någon form av analys inom ramen för utredningsarbetet. Behoven är ofta väl beskrivna, medan integritetsriskerna kan vara mindre ingående berörda. Ofta saknas själva analysen av hur integritetsintrånget, efter att relevanta säkerhets- och skyddsåtgärder har föreslagits som begränsar intrånget, bedöms stå i proportion till behoven. En analys är en förutsättning för att en relevant proportionalitetsbedömning ska kunna genomföras. Analysen behöver därför vanligen fördjupas i lagstiftningsärenden där frågor om personuppgiftsbehandling aktualiseras. Saknas analysen i lagstiftningsarbetet riskerar regelverket ytterst att inte uppfylla kraven enligt regeringsformen och . Vid genomförandet av en integritetsskyddsanalys behöver en kartläggning göras av bland annat vilken personuppgiftsbehandling som ska genomföras, av vem och vilka aktörer som kommer att vara personuppgiftsansvariga. Det är också centralt att fastställa och tydliggöra ändamålen med behandlingen, eftersom ändamålen utgör ramen för vilken behandling som kan anses nödvändig. Ett intrång i enskildas privata sfär som innefattar behandling av personuppgifter måste uppfylla kraven i regeringsformen, och EU:s rättighetsstadga samt bestämmelserna i dataskyddsreglering. För att uppfylla kraven i ett konkret lagstiftningsärende krävs att det intrång som sker i den enskildes privata sfär är nödvändigt, befogat och inte större än nödvändigt. Intrånget ska mötas av integritetshöjande bestämmelser till förmån för den enskilde. En följd av denna reglering är bland annat att lagstiftaren har att tydligt redovisa vilka avvägningar som gjorts vid proportionalitetsbedömningen. En integritetsskyddsanalys syftar till att svara på frågan om intrånget i den personliga integriteten är proportionerligt i förhållande till det man avser att uppnå med den föreslagna personuppgiftsbehandlingen. I det ingår att bedöma om behandlingen av personuppgifter är: •nödvändig utifrån de avsedda ändamålen med behandlingen, •om det finns alternativa vägar att nå samma resultat men som är mindre integritetskänsliga och •om det finns integritetshöjande bestämmelser (skyddsåtgärder) som kan behövas för att de grundläggande principerna i dataskyddsförordningen ska uppfyllas och åtgärder för att uppfylla bestämmelserna om inbyggt dataskydd och dataskydd som standard. Exempel på lämpliga skyddsåtgärder kan vara bestämmelser för att begränsa insamlingen och spridningen av uppgifterna, preciserade gallringsregler samt krav på säkerhetsåtgärder såsom kryptering vid överföring via öppet nät och stark autentisering för åtkomst till känsliga personuppgifter och uppgifter om lagöverträdelser. Även sekretess till skydd för den enskilde används ofta som integritetshöjande åtgärd. 6.3.1.2Även en konsekvensbedömning kan lämpligen genomföras i lagstiftningsarbetet I dataskyddsförordningen finns bestämmelser om att den personuppgiftsansvarige ska göra en konsekvensbedömning innan särskilt riskfyllda behandlingar påbörjas.308 föreslog att man även borde införa ett krav i kommittéförordningen på redogörelse av integritetskonsekvenser om förslagen i ett betänkande innebär ett betydande intrång i den personliga integriteten.309 Något sådant krav har ännu inte genomförts. Se bilaga 1 till rapporten för en närmare beskrivning av kraven på konsekvensbedömning. Regleringen i 2 kap. 6 § andra stycket regeringsformen ger skydd mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. En konsekvensbedömning i ett lagstiftningsärende gör kommande tillämpning mer förutsägbar. Detta är särskilt välkommet när det gäller behandlingar som är nödvändiga för att fullgöra en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.310 Har en konsekvensbedömning gjorts i lagstiftningsärendet behöver en förnyad konsekvensbedömning inte heller göras av de verksamheter som ska behandla personuppgifter.311 Sammanfattningsvis kan konstateras att integritetsanalyser och konsekvensbedömningar avseende dataskydd har betydelse för att säkerställa en väl avvägd lagstiftning som uppfyller kraven i regeringsformen, och , men också för att underlätta tillämpningen. I den mån lagstiftning som rör behandling av personuppgifter inte tillräckligt tydligt uttalar för vilket ändamål uppgifter får behandlas riskerar verksamheterna att sakna lagstöd för sina personuppgiftsbehandlingar. Alltmer djuplodande integritetsanalyser syns allt oftare i lagstiftningsprodukterna vilket är positivt. Men här finns mer att göra och sannolikt behövs stöd till kommittéväsendet och övriga lagstiftningskedjan för att stärka lagstiftningsprocessen både när det gäller integritetsanalyser och konsekvensbedömningar, men också för att komplettera dataskyddsförordningen i den utsträckning det behövs för att verksamheter ska kunna bedriva sin verksamhet på ett ändamålsenligt sätt och i enlighet med dataskyddsreglerna. Bland annat kan ställas krav på en integritetsanalys redan vid utformningen av kommittédirektiv. Se artikel 6.1 (c) resp. (e) dataskyddsförordningen. Av relevans i lagstiftningssammanhang är även artikel 6.2, 6.3 och skäl 41 i dataskyddsförordningen samt artikel 35.10 dataskyddsförordningen. Artikel 35.10 dataskyddsförordningen. 6.4Sammanfattning och slutsatser om hur bra integritetsskyddet är Utifrån de underlag som har redovisats ovan kan sammanfattningsvis konstateras att medborgarnas oro för hur deras personuppgifter hanteras ökar. Genomförda tillsyner, inkomna klagomål och rapporter om personuppgiftsincidenter bekräftar att oron kan vara befogad. IMY:s bedömning är sammanfattningsvis att det fortfarande finns omfattande brister som rör grundläggande faktorer när det gäller data- och integritetsskydd. Granskade verksamheter har generellt haft utmaningar i att uppfylla de grundläggande principerna och har ibland saknat rättslig grund för sina behandlingar. De har inte haft tillräcklig säkerhet för sina uppgifter och har i vissa fall inte heller implementerat rutiner och processer och utbildat medarbetarna för att de ska kunna bidra till att upprätthålla skyddet för uppgiftssamlingarna. En förklaring kan vara att det är en konsekvens av att kunskapen om integritets- och dataskyddsfrågorna är begränsad till få och att verksamheterna inte arbetar med dataskyddsfrågor på det systematiska sätt som är en förutsättning för att kunna säkerställa ett adekvat skydd för uppgifterna. En förklaring kan också vara att de ökade kraven på verksamheterna har införts stegvis och att efterlevnaden av dataskyddsreglerna tidigare till delar har brustit. Det innebär att den digitala utvecklingen när dataskyddsförordningen började tillämpas redan hade kommit långt och att affärsmodeller, avtal och processer inte med enkelhet har kunnat ställas om för att uppfylla samtliga krav enligt förordningen. Integritetsfrågorna riskerar då att bli en fråga om att försöka lägga på ett raster med integritetsskydd, lappa där det går och släcka bränder när de uppstår. Detta understryker vikten av att verksamheterna arbetar systematiskt med frågorna, att verksamheten anpassas i grunden och att integritetsperspektivet finns med och byggs in i verksamhetssystem och affärsmodeller från början. Särskilt viktigt är detta perspektiv i unga branscher där innovationer testas och en snabb utveckling sker. Saknas integritetsperspektivet från början är det en svår och kostsam process att läka brister i efterhand. Ytterst utsätts medborgarna för risker för sina grundläggande fri- och rättigheter. Även kommittéväsendet och lagstiftaren har en viktig roll i att säkerställa att lagstiftningsprodukterna håller hög kvalitet där integritetsskyddsanalysen är ett viktigt instrument för att säkerställa att lagstiftningen är proportionerlig. Genomförs konsekvensanalyser i samband med lagstiftningsåtgärder kan integritetshöjande åtgärder genomföras redan i lagstiftningssammanhanget, vilket bidrar till en korrekt och rättssäker tillämpning. 7.Aktuell forskning om ny teknik och integritetsskydd I det här avslutande kapitlet beskriver vinågra olika svenska undersökningar och forskningsinitiativ som tar sikte på utvecklingen av ny teknik och integritetsskydd. 7.1Några olika svenska undersökningar och forskningsinitiativ Färsk svensk forskning har identifierat flera riskområden när det gäller personlig integritet, bland annat när det gäller AI. Men i den akademiska världen finns också ett antal pågående projekt och initiativ som på olika sätt syftar till att höja integritetsskyddet. Ett område som flera lärosäten forskar om är transparens och nya verktyg för att öka användarnas kunskap om och kontroll över vilka personuppgifter som samlas in och används – av vem, på vilket sätt samt eventuella konsekvenser av användningen. Integritet vid användning av appar har stått i fokus i flera studier och rapporter. När det gäller inbyggt dataskydd och dataskydd som standard har forskare arbetat fram onlineutbildningar i dataskydd, bland annat en med särskild inriktning mot inbyggt dataskydd. Forskning pågår också för att utveckla säkra molntjänster och appar. Målet är att i en molnlösning kunna erbjuda säker analys av känsliga data som till exempel patientuppgifter. Flera pågående forskningsprojekt syftar till att höja säkerheten i Internet of things, IoT. Det handlar bland annat om att höja integritetsskyddet för IoT i hemmet och ge individer större kontroll över de uppkopplade enheterna. Det akademiska intresset för AI är stort. En kartläggning uppskattade antalet forskningsmiljöer i som fokuserar på AI till närmare 40. Identifierade problemområden med AI som forskningen menar behöver hanteras ur ett integritetsperspektiv handlar om risken för partisk AI och missbruk men också att säkerställa ansvarsfrågor och transparens. Det pågår ett antal undersökningar och forskningsinitiativ inom digitalisering och ny teknik samt inom integritets- och dataskyddsområdet. Forskning är efterfrågad och bidrar till lärande och kunskapshöjning, ger förslag på nya lösningar och pekar ibland också på områden som behöver fördjupad genomlysning. Vid en genomgång framkommer att det i forskningen identifieras flera riskområden när det gäller integritetsskydd. En del av forskningen syftar till att möta dessa, bland annat genom att undersöka hur medborgarnas rättigheter kan tillgodoses, lämna förslag på hur verksamheterna kan ta sitt ansvar för integritetsskyddet, eller på annat sätt bidra till att lösa en del av de integritetsrisker som uppmärksammats. Några sådana forskningsinitiativ lyfts fram i det följande.312 Avsnittet syftar till att ge exempel på olika sätt som forskning och utveckling bidrar till ett tryggt informationssamhälle. Det förtjänar dock att understrykas att inte gjort någon bedömning av de olika undersökningar och studier som beskrivs. 7.1.1Skapa förtroende och tillit - genom bland annat verktyg för transparens och certifiering Ett område som flera lärosäten forskar om är transparens. Flera initiativ tillhandahåller verktyg för transparens i syfte att öka användarnas kunskap om och kontroll över vilka personuppgifter som samlas in och används – av vem, på vilket sätt samt eventuella konsekvenser av användningen. Ett forskningsinitiativ föreslår en ”katalog” av designriktlinjer som kan ligga till grund för hur information kan utformas för att möta individuella användares behov. Förslag lämnas också på utformning av ett integritetsmeddelande som kan användas för att informera användare om incidenter.313 Ett annat syftar till att ge kunskap och kontroll om insamlad data och dess användning genom till exempel modeller som beräknar hur integritetsvänliga appar är, eller genom appar som redovisar vilka personuppgifter företag som stora sociala medieaktörer, till exempel Facebook, använder sig av. Forskare i den här gruppen har tagit fram två appar som kan hjälpa privatpersoner att se vilken personlig data företag använder sig av och verkar för att utveckla verktygen ytterligare.314 Sammanställningen gör inte anspråk på att vara heltäckande, utan ger endast en bild av forskningsresultat som har kommit från olika lärosäten. , och synes vara några av de som har kommit längst i sin forskning inom områden som berör integritets- och dataskydd. P. , Towards Usable Transparency via Individualisation, , 2019 Projektet drivs inom ramen för Privacy Flag och avser, med avstamp i dataskyddsförordningen, stärka skyddet för fysiska personer vid behandling av personuppgifter inom EU. A. , A. Padyab, Ta reda på hur företag använder data du delar. Digitaliseringen av handeln gör den mer effektiv och ökar tillväxten. känner konsumenter en oro över bristande transparens, vilket kan skada den tillit mellan handlare och kund som är central i en fungerande marknad. En studie har visat att många konsumenter upplever en bristande kontroll över sina data och att svenska handlare kan göra mer för att stärka kundernas förtroende. Projektet syftar till att bättre förstå relationen mellan tillit och transparens när det gäller kommersiell insamling av konsumenters data.315 Den tidigare nämnda rapporten data! syftar till att lösa en del av konflikten mellan ökad dataanvändning och bevarad personlig integritet och till att skapa ökat förtroende och tillit hos användarna genom en integritetscertifiering vid datainsamling. En sjyst datacertifiering visar att man följer gällande lagar och regler, men också att man tar hänsyn till etiska principer och värnar användarens personliga integritet. Certifieringen skulle kunna användas i stället för, eller parallellt med, andra mekanismer enligt dataskyddsförordningen som syftar till att visa att förordningen följs.316 7.1.2Integritet vid användning av mobilappar Ett forskningsprojekt visar att information om en persons mobilappar skapar ett unikt digitalt fingeravtryck. I en population på 3,5 miljoner användare var unika i vilka appar de använde. Möjligheten att få fram sådana digitala fingeravtryck väcker därför frågan om hur en persons integritet ska skyddas. Forskningen visade att det endast krävdes fyra appar från en mobilanvändare, valda efter popularitetsrankning, för att kunna identifiera av användarna via ett digitalt fingeravtryck. För krävdes fler appar för att det digitala fingeravtrycket skulle skapas. Via det digitala fingeravtrycket kunde man avgöra en persons ålder, kön, religion och sexuella läggning. Det som tidigare betraktades som statistik utgör därför enligt forskarna mycket känslig information, eftersom en individs identitet kan avslöjas och utnyttjas, till exempel i ovälkomna reklamsammanhang eller påverkanskampanjer. Det kan också vara frågan om mer allvarliga missbruk. Som exempel anges Trumps kampanjorganisations köp av Analyticas tjänster i samband med valet . Företaget använde Facebookdata för att profilera och rikta meddelanden till 87 miljoner personer människor. De använde en psykologisk modell för profilering. Enligt forskningen kan digitala app-fingeravtryck profilera på samma sätt. Forskningen pekar också ut risker med tekniken i samband med till exempel utpressning och identitetsstöld. För att användningen av appar och de möjligheter de ger ska kunna vara till stor hjälp i samhället behövs enligt forskarna etiska riktlinjer för designers och app-utvecklare som tar hänsyn till både teknik, integritet och etik.317 Appar har blivit en viktig del i våra liv. För att fungera registrerar de var vi är, vad vi säger och vad vi gör. Forskning visar att införandet av dataskyddsförordningen har haft en positiv inverkan på appars beteende och att de nu har mindre tillgång till data.