prop · H903203 · 2022-03-30 00:00:00 — uppdrog regeringen åt att kartlägga och analysera bland annat behov av kompetensutvecklingsinsatser och vilka kapacitetshöjande insatser som finns för att underlätta för datahantering och datadelning (I2021/02737). I uppdraget konstateras att forskning om och tillämpningar inom områden som pseudonymisering, kryptering och distribuerad AI utvecklas snabbt och har potential att genomgripande förändra förutsättningarna för en mer säker datadelning med bibehållen kontroll över bland annat sekundäranvändning. Ett utvecklat kunskapsunderlag är därför angeläget för att möta målsättningen om ett som är attraktivt för forskning, innovation och utveckling på AI- och dataområdet. Flera länder arbetar med att öka sin förmåga att kunna dela data. Svenska företag, myndigheter, regioner och kommuner kommer att behöva utveckla en förmåga att dela och använda data på nationell och europeisk nivå för att dra nytta av den inre marknad som skapas. I det arbetet måste den nationella säkerheten, informationssäkerheten och skyddet för den personliga integriteten säkerställas. Uppdraget ska slutredovisas . Digital teknik och data bidrar till att lösa samhällsutmaningar och är avgörande för näringslivets konkurrenskraft. 2021/22:203 nyttjas på ett ansvarsfullt sätt och regelverk följas. Därför har regeringen gett i uppdrag att höja kunskaperna om integritets- och dataskyddsfrågor brett i innovationssystemet (N2021/01266). I uppdraget ingår att självständigt ska genomföra metod- och kunskapsutvecklande insatser för att höja den allmänna kunskapsnivån om integritets- och dataskyddsfrågor inom innovations-, utvecklings- och införandeprocesser. Vid genomförandet av uppdraget kan myndigheten vid behov samverka med , Myndigheten för digital förvaltning samt andra relevanta myndigheter och organisationer. En delredovisning ska lämnas till regeringen och uppdraget ska slutredovisas . Regeringen instämmer slutligen i att det är viktigt att säkerställa uppföljning av hur arbetet med dataskydd utvecklas i den offentliga förvaltningen. Sådant uppföljningsarbete aktualiserar bland annat frågor om incidentrapportering. Mot bakgrund av det arbete som pågår på området med uppföljning bedömer regeringen att det inte är motiverat att vidta ytterligare åtgärder. Regeringen bevakar dock löpande frågan. 3.5Vidare behandling av rapport Regeringen har för avsikt att fortsätta att bedriva ett systematiskt och aktivt arbete för att förstärka skyddet för den enskildes personliga integritet som tjänster som ökar medborgarnas livskvalitet och näringslivets konkurrenskraft kan fortsätta utvecklas. I och med denna skrivelse anser regeringen att är slutbehandlad. -redovisning av utvecklingen på it-området när det gäller integritet och ny teknik Har du frågor om innehållet kontakta , telefon , e-post , Sammanfattning, slutsatser och 1.1.1 Ambitiös digitaliseringspolitik såväl på EU-nivå som nationellt ........................................... 1.1.2 Sexton teknikområden som påverkar den 1.1.3 Hur bra är integritetsskyddet ?................. 1.1.4 Exempel på svensk forskning om integritet och dataskydd.......................................... 1.2.1De flesta känner till att allt vi gör på nätet lämnar spår – men ny teknik tar datainsamlingen på nätet till nya dimensioner.................................... 1.2.2 Med Internet of things flyttar spårningen på nätet ut i städer och hem ........................................ 1.2.3 Insamling av biometrisk data ökar.................. 1.2.4Höga ambitioner när det gäller datadriven innovation behöver kombineras med kraftfulla åtgärder för att stärka integritet och säkerhet ......... 1.3.1 behöver en integritetsskyddspolitik... 1.3.2 Vidta åtgärder för att främja fortsatt 1.3.3Privata och offentliga verksamheter behöver fortsätta förbättra sitt grundläggande 2. Inledning.................................................................. 2.1 Om rapporten.......................................................... 2.1.1 Målgrupp, syfte och innehåll........................... 2.1.2 Metod och avgränsningar .............................. 2.2 Ökad användning av data – varför är det viktigt?...................................................... 2.3 Vad innebär personlig integritet och varför är det viktigt?................................................................. 2.3.1 Personlig integritet – en mänsklig rättighet .... 2.3.2 Personlig integritet – en demokratifråga........ 2.3.3 Personlig integritet – en hållbarhetsfråga...... 2.3.4 Personlig integritet – en fråga om 2.3.5 Personlig integritet – en del av samhällets säkerhet............................................ 3.1 EU:s digitaliseringspolitik ....................................... 3.1.1 Att forma EU:s digitala framtid - EU:s 3.1.2 för data...................................... 3.1.3 AI ett viktigt fokusområde för 3.2 EU:s integritetsskyddspolitik – införandet av GDPR och brottsdatadirektivet en historisk reform...... 3.2.1 Omfattande krav på samverkan och harmonisering inom EU........................................... 3.2.2 Kommissionen menar att harmoniseringen behöver öka ytterligare............... 3.2.3 Konsekvenser av kraven på harmonisering för del............................... 3.3 Exempel på politik inom angränsande 3.4.1 Digital trygghet – en viktig del av 3.4.2 Särskilda insatser med fokus på AI och öppna data .................................................. 3.4.3 Digitalisering av offentlig sektor .................... 3.4.4 Digitaliseringspolitikens fortsatta inriktning ... 3.5.1 Informations- och cybersäkerhet.................... 3.5.2 Integritetsskyddspolitiken i – dataskyddsreformen har implementerats ............... 3.5.3 Regeringen har agerat på ett antal av Vilka krav ställer regelverket på skydd för personuppgifter?.................................................. 4.1 Från direktiv till förordning....................................... 4.2 Förstärkta rättigheter och skärpta skyldigheter...... 4.3 tolkning av förordningen................ 4.3.1 Flera mål rör samtycke, personuppgiftsansvar och privatundantagets gränser............................... 4.3.2 Mål som rör sökmotorer................................. Digitalisering och teknikutveckling...................... 5.1 Hastigheten i teknikutvecklingen 5.2 Personuppgifternas livscykel.................................. 5.3 Teknik för att samla in data..................................... 5.3.1 Sensorer och sändare.................................... 5.3.2 Teknik för interaktion mellan människa och dator................................................. 5.3.3 Internet of Things........................................... 5.3.5 Insamling av biometriska uppgifter................ 5.4 Teknik för att bearbeta och använda data............... 5.4.1 Artificiell intelligens......................................... 5.4.2 Edge computing............................................. 5.4.3 Den digitala annonsmarknaden och 5.5 Teknik för att lagra data........................................... 5.5.1 Molnifiering av lagring.................................... 5.5.2 Edge storage och nya lagringsmedia............. 5.6 Teknik för att transportera data............................... 5.6.2 Digital kommunikationsteknik ........................ 5.7 Teknik för att säkra data.......................................... och edge security.................................................... 5.7.3 Teknik baserad på blockkedjor....................... 5.8 Teknik för att förstöra data...................................... 5.8.1 Teknik för att återskapa raderad eller på annat sätt förlorad data............................... Hur bra är integritetsskyddet ?..................... 6.1 Privata och offentliga verksamheters arbete med dataskydd.................................................. 6.1.1 Iakttagelser från nationella integritetsrapporten med mera....................... 6.1.2 Iakttagelser utifrån anmälda 6.1.3 Iakttagelser utifrån inlämnade klagomål....... 6.1.4 Iakttagelser utifrån genomförd tillsyn ........... 6.1.5 Iakttagelser utifrån meddelade 6.2 Oron för hur personuppgifter används ökar ......... 6.3 Integritetsskyddet i lagstiftningsprocessen – 6.4 Sammanfattning och slutsatser om hur bra Aktuell forskning om ny teknik och 7.1 Några olika svenska undersökningar och 7.1.1 Skapa förtroende och tillit - genom bland annat verktyg för transparens och certifiering........ 7.1.2 Integritet vid användning av mobilappar........ 7.1.3 Användning av appar inom 7.1.5 Forskning för att utveckla säkra molntjänster och appar........................................... 7.1.6 Internet of things, IoT...................................... 7.1.7 Artificiell intelligens, AI................................... Bilaga 1 – sammanfattning av centrala regler i dataskyddsförordningen............................. Enskildas rättigheter har stärkts.................................. Kraven på verksamheter som behandlar personuppgifter har ökat.............................................. Begreppen behandling och personuppgift är centrala i regelverket.......................................... Grundläggande principer behöver beaktas vid all hantering av personuppgifter ...................... Rättsliga grunder som gör behandling av Krav på tillräckliga säkerhetsåtgärder för att skydda personuppgifterna............................... Särskilt om kraven på konsekvensbedömning...... Krav på förhandssamråd....................................... Krav på hantering av personuppgiftsincidenter .... är ett av EU:s mest digitaliserade länder, med ambitionen att bli bäst i världen på att använda digitaliseringens möjligheter. Med hjälp av datadriven och digital innovation skapas nya tjänster och funktioner som ger värde för samhälle, miljö, företag och ökad livskvalitet för enskilda individer. skapar de enorma mängder data som samlas hos privata och offentliga aktörer stora risker. Möjligheten att kartlägga individer, deras rörelsemönster, preferenser, umgänge, hälsa, ekonomi med mera skapar en utsatthet för den enskilde. Regeringen gav Datainspektionen i uppdrag att redovisa utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik. Denna rapport utgör den första redovisningen enligt uppdraget. bytt namn lämnas rapporten i (IMY:s) namn. Regeringen är primär mottagare av rapporten, men har aviserat att rapporten också ska ligga till grund för en riksdagsskrivelse. Därmed är även ledamöter en viktig målgrupp för redovisningen. Även andra beslutsfattare och dataskyddsombud med flera som arbetar praktiskt med dataskydd, informations- eller cybersäkerhet kan sannolikt ha behållning av olika delar i rapporten. Vår ambition är att rapporten ska bidra till utvecklingen av integritetsskyddspolitik. Att en sådan politik behöver utvecklas är vår viktigaste rekommendation i vår första redovisning till regeringen. Med den snabba teknikutvecklingen inom till exempel Internet of things, artificiell intelligens och en ökad insamling av biometriska uppgifter riskerar annars att bygga in sig i en storskalig insamling och användning av data som är oetisk, olaglig eller på ett allvarligt sätt inskränker kommande generationers mänskliga rättigheter. Genomförd tillsyn och granskningar visar att många organisationer fortfarande har grundläggande brister i sitt dataskyddsarbete. Det medför att gapet mellan teknikutvecklingen och integritets- och dataskyddet riskerar att kontinuerligt öka. För en hållbar och integritetsvänlig digitalisering behöver nu konkreta integritetsskyddspolitiska mål och åtgärder formuleras, vilket jag hoppas rapporten kan bidra till. 1.Sammanfattning, slutsatser och rekommendationer Hur kan utvecklingen på it-området förstås när det gäller frågor som rör integritet och ny teknik? Vad har påverkat den personliga integriteten mest , hur bra är integritetsskyddet och vad kommer ha störst betydelse om vi blickar framåt? I detta inledande avsnitt sammanfattar vi rapportens olika delar. Efter sammanfattningen följer centrala slutsatser och . Vi befinner oss i den fjärde industriella revolutionen. Kärnan i den pågående teknikutvecklingen handlar om att förmågan att skapa, använda och dela data utvecklats. Ny teknik har gjort det enklare och billigare att samla in och med bland annat hjälp av artificiell intelligens, AI, bearbeta och analysera stora mängder data. Inom en rad områden ger datadriven innovation hopp om att bättre kunna möta samtidens stora globala och nationella utmaningar och skapa ett bättre samhälle – nu och för kommande generationer. Genom nya sätt att resa, bo, konsumera, kommunicera och leva kan vi bli bättre på att tillvarata och bevara jordens resurser på ett hållbart sätt. Digitalt drivna innovationer kring vägar, transporter och varuflöden kan till bidra till att minska klimat- och miljöpåverkan. Samhällsplaneringen blir mer ändamålsenlig när funktioner som vatten- och energiförsörjning och annan infrastruktur kan dimensioneras utifrån stora mängder data. Även livsmedelsproduktion kan optimeras, kvalitet och effektivitet i välfärden utvecklas och medicinsk forskning på stora mängder patientdata användas för att utveckla botemedel och behandlingar mot svåra sjukdomar. Att smittspårning kan utgöra ytterligare ett tillämpningsområde har tydliggjorts under den pågående pandemin. Tillgången till stora datamängder och möjligheterna att analysera dem innebär stora möjligheter. innebär den ökande insamlingen av data om vårt beteende och rörelsemönster, dels på nätet, dels i den fysiska världen, ofrånkomligen risker ur ett integritetsskyddsperspektiv. Kraftfull teknik för att samla in data ger en mängd aktörer tillgång till en mer eller mindre fullständig bild av våra liv, våra intressen, våra kontakter, vår hälsa och våra rörelsemönster, vanor och beteenden. Det finns ingen vedertagen definition av personlig integritet, men i de statliga utredningar som gjorts på området under återfinns en tydlig röd tråd. Även om någon fast definition inte slås fast i denna rapport utgår vi från en förståelse av personlig integritet som den enskilde individens rätt till privatliv och möjlighet till självbestämmande i det digitala samhället. Med utgångspunkt i IMY:s uppdrag ligger fokus här enbart på personlig integritet i bemärkelsen skyddet av personuppgifter, även om integritetsbegreppet i vidare mening också kan omfatta skydd mot andra typer av godtyckliga intrång. Kärnan i rätten till privatliv handlar här om rättigheten att även i digitala miljöer kunna ha privata förehavanden och kommunicera förtroligt utan att bli kartlagd, spårad eller övervakad – vare sig av myndigheter eller av globala storföretag. I möjligheten till självbestämmande ingår att själv kunna kontrollera vem som använder digitala uppgifter som rör en själv och för vilka syften. av dessa rättigheter är absolut, vilket sannolikt är en förklaring till att lagstiftaren inte tydligt har definierat begreppet personlig integritet. Rätten till privatliv är en grundläggande mänsklig rättighet, men också i hög grad en demokratifråga eftersom det är svårt att utöva andra grundläggande rättigheter som åsikts-, yttrande- och organisationsfrihet om vi inte vet om vi övervakas och av vem. Ett gott integritetsskydd har också stor betydelse för individers säkerhet. I synnerhet om personuppgifter hamnar i orätta händer kan det innebära konkreta risker för den enskilde. Ett gott integritetsskydd har betydelse också för säkerhet. Omfattande läckage av uppgifter till främmande makt eller andra antagonistiska aktörer kan utnyttjas som ett geopolitiskt maktmedel och påverka säkerhetsskydd. 1.1.1Ambitiös digitaliseringspolitik såväl på EU-nivå som nationellt Inom EU har viktiga initiativ tagits för att möta den snabba tekniska utvecklingen och ökande insamlingen och delningen av personuppgifter. Den viktigaste integritetsstärkande reformen är att dataskyddsförordningen, GDPR, infördes som lag i EU:s medlemsstater och ett direktiv på det brottsbekämpande området, som implementerades i svensk rätt genom brottsdatalagen och brottsdataförordningen, trädde i kraft . Dataskyddsförordningen innehåller förstärkta rättigheter för enskilda individer, som ska kunna utöva insyn och ha kontroll över sina personuppgifter. innebär förordningen på en rad områden skärpta skyldigheter för verksamheter som hanterar personuppgifter. Skyldigheterna för verksamheterna sammanfattas i förordningens sex grundläggande principer om laglighet, korrekthet och öppenhet, ändamålsbegränsning, uppgiftsminimering, riktighet, lagringsminimering samt integritet och konfidentialitet. Är inte de grundläggande principerna beaktade, eller om rättslig grund saknas, kan man utgå från att personuppgiftsbehandlingen inte är laglig. Förordningen innehåller också helt nya verktyg för korrigerande befogenheter, bland annat kraftfulla sanktionsavgifter. Genom dataskyddsförordningen inrättades också den Europeiska dataskyddsstyrelsen, EDPB. Styrelsen beslutar om yttranden och vägledningar men har även mandat att fatta beslut i gränsöverskridande ärenden. Styrelsens mandat är omfattande, både på policynivå och operativt. I praktiken har en stor del av den nationella suveräniteten när det kommer till tolkning och tillämpning av dataskyddsregleringen samt praxisbildning överlämnats till EDPB. I sin tvåårsutvärdering av dataskyddsförordningen bedömde att reformen uppfyllt det övergripande målet att stärka skyddet av den enskildes rätt till skydd av personuppgifter. understryker kommissionen att det behövs ökade ansträngningar, bland annat för att medborgarnas kontroll över deras egen data ska bli reell. Att stärka enskildas rättigheter behöver bland annat ske när det gäller tillgång till och användning av data, till exempel rätten till information och rätten till radering av data. Kommissionen menade också att harmoniseringen mellan länderna har ökat, men att det fortfarande behövs en mer enhetlig tillämpning i hela unionen. EU har höga ambitioner på digitaliseringsområdet för . presenterade tre strategiska dokument som anger inriktningen för EU:s digitala framtid: en övergripande digitaliseringsstrategi, en datastrategi och en vitbok om AI. Genomgående innehåller dokumenten en kombination av å ena sidan offensiva satsningar och investeringar för att bli världsledande på att dra nytta av teknikens fördelar, å andra sidan åtgärder för att fortsätta stärka och säkerställa medborgarnas rättigheter. Konkreta åtgärder för att höja säkerheten och skydda enskilda individers fri- och rättigheter presenterades också i den nya cybersäkerhetsstrategi som kommissionen lade fram . Datastrategin innehåller åtgärder för att utveckla ett rättsligt ramverk kring dataanvändning, ökade investeringar för att stärka kapaciteten att använda data, åtgärder för att stärka individers möjlighet att kontrollera deras egna data samt åtgärder för att möjliggöra gemensamma europeiska datautrymmen. om AI anger målsättningen att EU ska bli världsledande på AI-teknik, som medborgarnas rättigheter säkras. Offensiva satsningar och kraftigt ökade investeringar ska kombineras med ett intensifierat arbete för att tydliggöra ett etiskt och rättsligt Som ett första steg i att utveckla det rättsliga ramverket har ett antal etiska principer för användning av AI utarbetats. Även på nationell nivå har digitaliseringspolitiken fått en tydlig prioritering , bland annat genom framtagandet av en nationell digitaliseringsstrategi och en nationell inriktning för AI. ska enligt regeringens digitala strategi vara bäst i världen på att ta tillvara digitaliseringens möjligheter. Genom delmålet digital trygghet har digitaliseringsstrategi en liknande ansats som , nämligen att satsningar på innovation och datadriven utveckling behöver kompletteras med åtgärder för att möta de risker som uppstår när allt fler saker kopplas upp och vi tillbringar allt mer av vår tid i digitala miljöer. Den nationella inriktningen för AI anger att ska vara ledande i att ta tillvara möjligheterna som användning av AI kan ge. I den nationella inriktningen konstaterar regeringen att hur olika aktörer förmår omsätta dataskyddsförordningen i sina respektive verksamheter kommer att ha betydelse för hur väl förmår ta hand om potentialen och hantera riskerna med AI. har regeringen gett olika myndigheter en rad särskilda uppdrag för att främja förmåga att använda AI, skapa och använda öppna data och fortsätta digitalisera den offentliga sektorn. Även avseende informations- och cybersäkerhet har en nationell strategi utarbetats och en rad åtgärder vidtagits. Ännu saknas dock mer konkreta politiska mål och åtgärder som bygger vidare på dataskyddsreformens intentioner och ger en tydlig inriktning för utvecklingen av arbete med integritets- och dataskydd. 1.1.2Sexton teknikområden som påverkar den personliga integriteten I rapporten beskriver vi sexton olika teknikutvecklingsområden som tillsammans bidrar till utveckling och förmåga att ta tillvara digitaliseringens möjligheter, men haft stor betydelse för den personliga integriteten. Vi bedömer att flera av områdena också kommer ha en avgörande påverkan på integritetsskyddet . Teknikområdena hänger nära samman, inte minst eftersom utveckling inom ett område har förstärkt och snabbat upp utvecklingen inom andra områden. Vi har dock i rapporten valt att dela upp teknikområdena i teknik för att samla in, bearbeta och analysera, lagra, transportera, säkra och förstöra data. Många av de teknikutvecklingsområden som beskrivs i rapporten utvecklas exponentiellt, vilket förenklat innebär att kapaciteten fördubblas . Innovation möjliggör nya innovationer och skapar ett slags ”ränta på ränta-effekt” som accelererar tempot Till följd av den exponentiella utvecklingen beräknas de kommande 100 åren motsvara 20 av teknikutveckling. 1.1.2.1 Ny teknik för att samla in data Det övergripande teknikutvecklingsområde som sannolikt påverkat den personliga integriteten allra mest är den ökande insamlingen av data om vårt beteende och rörelsemönster, dels på nätet, dels i den fysiska världen. Ekonomiska och affärsmässiga intressen har varit en viktig drivkraft för utvecklingen då det finns goda möjligheter att tjäna pengar på data. Ny teknik för att samla in data ger en mängd aktörer tillgång till en fullständig bild av våra liv, våra intressen, våra kontakter, vår hälsa, våra rörelsemönster, vanor och beteenden. Risker för den enskilde individen med den ökande datainsamlingen handlar bland annat om att det blir allt svårare att upptäcka, kontrollera eller välja bort att data om oss samlas in. Det faktum att uppgifter delas mellan olika aktörer på ett sätt som ofta är svåröverblickbart både för den enskilde individen och för verksamheterna som delar data gör integritetsriskerna större. Det finns också en risk för ändamålsglidning, det vill säga att uppgifterna används för andra ändamål än de ursprungligen samlats in för. Centralt i utvecklingen av teknik för att samla in data är att sensorer och sändare utvecklas mot att bli allt mindre men mer kraftfulla. Som exempel kan nämnas kroppsnära teknik som pulsklockor och träningsarmband och geospatial teknik för positioneringsdata. Ytterligare ett område där teknikutvecklingen gått snabbt framåt handlar om nya former för interaktion mellan människa och dator. har röststyrningsteknik fått ett brett genomslag och spridits från mobiltelefoner och datorer till bland annat bilar, klockor, hörlurar och olika smarta prylar i hemmet som till exempel TV-apparater. Även teknik för avläsning av fingeravtryck och ansiktsigenkänning utvecklas snabbt. Utvecklingen inom Internet of things, IoT, utgör ett särskilt riskområde ur ett integritetsperspektiv. IoT avser apparater, maskiner och fordon som har inbyggd teknik och internetuppkoppling, men typiskt sett inte ses som datorer. Det kan vara vardagsföremål som vitvaror, termostater, belysning, TV-apparater, elektroniska lås och larm, kläder eller bilar, men också utrustning i industri, infrastruktur eller vården.