prop · H903203 · 2022-03-30 00:00:00 — beslutade regeringen om ett tillägg i Datainspektionens (numera , ) instruktion innebärande att en redovisning av utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik ska lämnas till regeringen . Denna rapport utgör den första redovisningen enligt uppdraget. Rapporten riktar sig i första hand till regeringen, och andra policyskapande beslutsfattare. Rapporten innehåller bland annat en beskrivning av ett antal teknikutvecklingsområden och genomförda åtgärder som påverkar den personliga integriteten. Syftet är att ge underlag för prioriteringar och bidra till utvecklingen av integritetsskyddspolitik. Förslaget att ge i uppdrag att kontinuerligt lämna en redovisning till regeringen av utvecklingen på itområdet när det gäller ny integritet och teknik lämnades ursprungligen av år 2016.6 Utöver att regeringen tar del av rapporten, menade kommittén att det bör införas en ordning där regeringen överlämnar rapporten till i form av en skrivelse som även innehåller regeringens egna kommentarer till rapporten. Kommittén anförde att såväl regeringen som har behov av kunskap för att kunna följa den snabba teknikutveckling. Kunskap behövs till exempel om vilka trender som kommer att vara av betydelse och om hur stort det sammanlagda trycket blir på den enskilda individens privata sfär. Sådan kunskap behövs för att på olika sätt kunna påverka utvecklingen i önskvärd riktning. Kommittén menade även att kunskapen är värdefull exempelvis när det gäller att bedöma dels behov av ny lagstiftning, dels effekterna av befintlig lagstiftning och andra åtgärder som innebär att enskilda registreras eller kartläggs.7 SOU 2016:41 Hur står det till med den personliga integriteten?, sid. 647 ff. Dataskyddsmyndigheterna har också enligt dataskyddsförordningen i uppdrag att följa utveckling som påverkar skyddet av personuppgifter och att ge råd åt bland annat riksdag och regering om lagstiftningsåtgärder och andra administrativa åtgärder rörande skyddet för fysiska personers rättigheter och friheter när det gäller behandling av personuppgifter. Se förordningen artikel 57 där tillsynsmyndigheternas uppdrag regleras. 2.1.1 Målgrupp, syfte och innehåll Rapporten riktar sig i första hand till regering, riksdag och andra policyskapande beslutsfattare som har ett behov av att få ökad kunskap om och förståelse för teknikutveckling och integritetsskyddsfrågor. Även dataskyddsombud och andra som arbetar mer praktiskt med dataskydd, informations- eller cybersäkerhet kan sannolikt ha behållning av olika delar i rapporten. Syftet med rapporten är att •öka den allmänna kunskapen om teknikutvecklingen och vilka teknikutvecklingsområden som har störst betydelse för den personliga integriteten •ge en översiktlig bild av hur bra integritetsskydd är •belysa vissa åtgärder som genomförts som har central betydelse för integritetsskyddet •fungera som underlag för prioriteringar av ytterligare åtgärder och bidra till utvecklingen av integritetsskyddspolitik. Arbetet med att ta fram rapporten har dessutom gett erfarenheter och kunskaper som kan komma till nytta i IMY:s egen verksamhet framöver. Rapportens kärna utgörs av en beskrivning av utvecklingen när det gäller digitalisering och ny teknik som återfinns i kapitel 5. Teknikavsnittet föregås av inledande beskrivningar av de nyttor som finns med en ökad användning av data som strategisk resurs, hur personlig integritet kan förstås och varför det är viktigt (kapitel 2), en beskrivning av den politik som bedrivs på området inom EU och i (kapitel 3) samt en sammanfattning av vilka krav regelverket ställer på skyddet av personuppgifter (kapitel 4). Efter teknikavsnittet följer beskrivningar av hur bra integritetsskyddet kan sägas vara , utifrån ett antal iakttagelser från IMY:s verksamhet (kapitel 6), och även en kort sammanställning av forskningsinitiativ som bedrivs inom området (kapitel 7) i syfte att bland annat adressera hur tekniken kan fortsätta att utvecklas och säkerställa den personliga integriteten. Rapportens viktigaste slutsatser och rekommendationer återfinns tillsammans med sammanfattningen i början av rapporten (kapitel 1). 2.1.2 Metod och avgränsningar Arbetet med rapporten inleddes med att ett tiotal intervjuer genomfördes med experter inom integritet, ny teknik, dataskydd och angränsande områden. Under intervjuerna ställdes frågor om bland annat vad de intervjuade ansåg varit den mest aktuella och betydelsefulla utvecklingen som påverkat den personliga integriteten och om det finns eventuella riskområden som de ansåg bör uppmärksammas särskilt. Slutsatserna från intervjuerna har, tillsammans med IMY:s egna bedömningar och erfarenheter, legat till grund för rapportens övergripande inriktning och urvalet av de områden vi valt att fokusera på. I vissa delar återges också exempel, uttalanden eller slutsatser från experterna. Materialet i rapporten bygger primärt på omvärldsbevakning där bland annat olika redovisningar av regeringsuppdrag, forskningsprojekt, rapporter från konsultföretag och nyhetsartiklar ingår, slutsatser från rapporter och beslut som eller andra dataskyddsmyndigheter tidigare publicerat samt erfarenhet hos IMY:s specialister. En viktig informationskälla har också varit externa möten och samverkan som myndigheten löpande har med andra myndigheter och organisationer. Även i utformningen av rapportens slutsatser och rekommendationer har dialog förts med vissa nära samverkansparter till . Rapporten är inte avsedd att användas som vägledning för praktiskt arbete med dataskydd och informationssäkerhet. Sådan vägledning ges i första hand på dataskyddsområdet i de EU-gemensamma vägledningar som arbetas fram inom ramen för Europeiska dataskyddsstyrelsen, EDPB.8 Rapporten gör inte anspråk på att vara heltäckande. Stora datamängder finns i alla delar av samhället och risker för den personliga integriteten kan variera beroende på sektorspecifika förutsättningar. Området är därför mycket omfattande. Teknikutvecklingen går också mycket fort, vilket snabbt kan göra iakttagelser om ny teknik inaktuella. Mer djupgående tekniska beskrivningar saknas genomgående. Rapporten gör slutligen inte heller anspråk på att utgöra ett fullständigt kunskapsunderlag. Utgångspunkten har i stället tagits i IMY:s uppdrag och utifrån det adresseras frågor som aktualiseras i verksamheten och omvärlden. 2.2Ökad användning av data – varför är det viktigt? Rapporten tar avstamp i konstaterandet att det finns en stark ambition i och övriga EU att öka förmågan att bli ännu bättre på att analysera och skapa värde av stora mängder data. Datadriven utveckling innebär helt nya förutsättningar för att skapa ett bättre samhälle, nu och för kommande generationer. Samhällsutmaningar som miljö- och klimatarbete, en utvecklad och mer effektiv välfärd och medicinsk forskning är viktiga exempel där den nya tekniken kan göra omvälvande nytta. Tillgången till stora mängder data är i mångt och mycket bränslet i den pågående digitaliseringen. I digitaliseringsstrategi konstaterar regeringen att möjligheten att analysera stora datamängder öppnar för ny kunskap som inte varit möjlig att erhålla på annat sätt. Inom en rad områden ger utvecklingen hopp om att bättre kunna möta samtidens stora samhällsutmaningar, inte minst i miljö- och klimatfrågor. Genom nya sätt att resa, bo, konsumera, kommunicera och leva kan vi bli bättre på att tillvarata och bevara jordens resurser på ett hållbart sätt. Digitalt drivna innovationer kring vägar, transporter och varuflöden kan till bidra till att minska klimat- och miljöpåverkan. Samhällsplaneringen blir mer ändamålsenlig när dimensioneringen av samhällskritiska funktioner som vatten- och energiförsörjning och annan infrastruktur kan bygga på analys av stora mängder data. Även livsmedelsproduktion kan optimeras. Datadriven utveckling har stor potential i utvecklingen av den offentliga välfärden. Nya digitala metoder och arbetssätt kan bidra till att höja kvalitet och effektivitet inom till exempel hälso- och sjukvården och skolan – men också skapa förutsättningar för en mer jämlik och likvärdig offentlig service i hela landet. Att analysera stora mängder data är också en central metod för att skapa ett tryggare och säkrare samhälle, till exempel att analysera mobildata i brottsutredningar eller att kartlägga finansiella transaktioner för att förebygga och upptäcka bedrägerier och penningtvätt. Ytterligare ett område där användning av persondata skapar stora värden är den mediciniska forskningen. Med utgångspunkt i analyser av stora mängder patientdata kan nya metoder utvecklas för att upptäcka allvarliga sjukdomar, förbättra behandlingar och minska biverkningar. För såväl privat som offentlig verksamhet medför tillgången till och användningen av data möjligheter att bättre förstå användares beteenden och behov och därmed kunna erbjuda mer användarcentrerade produkter och tjänster. Innovation och utveckling bidrar därmed till att skapa värde för såväl medborgare och kunder som företag, myndigheter och andra organisationer. Några exempel på konkreta användningsområden där analyserad data kan skapa stora värden är •för att utveckla och effektivisera eller skapa helt nya former av befintliga produkter och tjänster •för att mer precist kunna följa upp och kontrollera utrustning, flöden, anställda och andra delar i en verksamhet •för att bättre förstå och kunna möta medborgares och kunders behov och beteenden •för att kunna förutse, och därmed påverka, människors beteenden •för att ta fram prognoser och scenarier och förutse utvecklingen inom olika områden Sammanfattningsvis är användningen av data en viktig förutsättning för att forskning och utveckling ska kunna bidra till ett bättre samhälle, nu och för kommande generationer. 2.3Vad innebär personlig integritet och varför är det viktigt? För att den digitala utvecklingen ska vara hållbar är det avgörande att datadriven innovation kombineras med kraftfulla insatser för att värna den personliga integriteten. Kärnan i personlig integritet handlar om den enskildes rätt till ett privatliv och rätten till självbestämmande. Ett privatliv innebär att ha möjlighet att ha privata tankar och förtrolig kommunikation utan att bli kartlagd, spårad eller övervakad. Självbestämmande handlar om att själv kunna kontrollera uppgifter som rör en själv, vem som använder uppgifterna Rätten till skydd för den personliga integriteten och skyddet för privatlivet är grundläggande rättigheter som skyddas av internationella konventioner, och svensk grundlag. Det är också i hög grad en demokratifråga eftersom det är svårt att utöva andra grundläggande rättigheter som åsikts-, yttrande- och organisationsfrihet om inte integritetsskyddet finns på plats. Därtill är ett gott integritetsskydd en hållbarhetsfråga, så att de system och processer vi nu skapar för att utvinna och använda data inte omöjliggör för kommande generationer att utnyttja sina rättigheter. När skyddet av personuppgifter fallerar kan konsekvenserna för den enskilde bli till exempel olika former av bedrägerier och it-brott. Det gör att integritetsskydd har stor betydelse för individers säkerhet. Stora mängder uppgifter om andra länders medborgare kan vara ett reellt geopolitiskt maktmedel. Ett gott integritetsskydd får därmed också konsekvenser för samhällets säkerhet. Det finns viktiga överlappningar och beröringspunkter mellan arbetet med informations- och cybersäkerhet, dataskydd och säkerhetsskydd. Hur begreppet personlig integritet ska definieras är inte självklart. Det finns ingen allmänt vedertagen definition, vilket konstaterats bland annat i lagstiftningssammanhang. I de utredningar som gjorts om personlig integritet återfinns dock en tydlig röd tråd som handlar om individens rätt till en privat sfär och rätten till självbestämmande. I vidare mening omfattar begreppet personlig integritet även rätten till skydd mot godtyckliga ingripanden som rör till exempel familj, hem eller korrespondens. I denna rapport ligger dock fokus på personlig integritet som rör skyddet av personuppgifter. års menade att integritetsbegreppet var liktydigt med den enskildes anspråk på att information om hans eller hennes privata angelägenheter inte ska vara tillgänglig för eller få användas av utomstående utan hans eller hennes vilja.9 Drygt konstaterade offentlighetskommittén att, även om det fanns ett antal olika definitioner av personlig integritet, så innehöll de så gott som alltid moment av dels den enskildes rätt till en fredad sektor, dels rätten till självbestämmande. Gemensamma nämnare i de olika definitionerna var ofta den enskilde individens rätt att själv bestämma vilka uppgifter om sig själv och sina personliga förhållanden som individen ska lämna ifrån sig samt hur dessa uppgifter ska få användas och spridas.10 I och med dataskyddsdirektivet och ikraftträdande av personuppgiftslagen, PUL, 1998, kom begreppet personlig integritet i översyn av personuppgiftslagen att riktas mot automatiserad behandling av personuppgifter.11 förde ett likartat resonemang som tidigare utredningar och konstaterade att det inte var möjligt, eller i vart fall inte meningsfullt, att formulera en definition av personlig integritet som pekar ut alla situationer i vilka individen har en rätt att få sin integritet respekterad och skyddad. Kommittén beskrev dock ett antal moment i den personliga integriteten som är av grundläggande betydelse när rättighetsinskränkande åtgärder övervägs. För det första rätten till skydd av individens kroppsliga integritet, privata tankar och förtrolig kommunikation med andra samt den enskildes möjligheter att själv avgöra om andra ska få Data och offentlighetskommitténs delbetänkande Integritetsskyddet i informationssamhället 3, Grundlagsfrågor, Ds Ju 1987:8. Data och offentlighetskommitténs delbetänkande Integritetsskyddet i informationssamhället 3, Grundlagsfrågor, Ds Ju 1987:8. Personuppgiftslagen (1998:204); betänkande Översyn av personuppgiftslagen, SOU 2004:6. ta del av känsliga uppgifter som rör till exempel hälsa eller sexualliv. För det andra måste det alltid finnas ett skydd för rätten att ”stänga om sig”, det vill säga utgångspunkten måste vara att den enskilde ska vara fri att kunna avskärma sig från omgivningen.12 Även fann att det inte var meningsfullt att försöka finna en precis definition av begreppet personlig integritet, bland annat eftersom rätten till en privat sfär inte är absolut utan relaterad till en rad olika omständigheter, som dessutom kan variera . Kommittén fokuserade i första hand på digital insamling, användning och spridning av uppgifter – inklusive bilder – om enskilda och deras personliga förhållanden. Utgångspunkt togs i den enskildes rätt till privata tankar och förtrolig kommunikation med andra, samt den enskildes möjligheter att själv avgöra vem som i olika sammanhang ska få ta del av uppgifter som rör denne. I den rätten ligger även ett skydd mot registrering, spridning eller annan behandling av felaktiga, kränkande eller påhittade uppgifter. Genom dataskyddsförordningens införande har enskildas rättigheter stärkts. Förordningen syftar till att stärka enskilda individers integritet genom bland annat skydd mot att uppgifter behandlas utan lagligt stöd och rätt till information om, kontroll över och insyn i hur deras personuppgifter behandlas. Även om någon fast definition inte slås fast här och även om rättigheten inte är absolut, bör personlig integritet i det digitala samhället sammanfattningsvis kunna förstås som den enskildes rätt till Rätten att få vara ifred, ha privata tankar och kunna kommunicera förtroligt med andra utan att bli kartlagd, spårad eller övervakad. Att själv kunna kontrollera personuppgifter som rör en själv, vem som använder uppgifterna och för vilka syften. Detta är särskilt angeläget när det handlar om vem som ska få ta del av känsliga uppgifter som rör till exempel hälsa eller sexualliv. I dataskyddsförordningen och andra regelverk på området används genomgående begreppet dataskydd. Integritetsskydd kan i denna kontext förstås som åtgärder (i ett bredare perspektiv) som vidtas för att skydda den personliga integriteten, medan dataskydd i någon mån är ett snävare begrepp där fokus ligger på att uppfylla lagstiftningens krav och intentioner i fråga om behandling av personuppgifter. slutbetänkande Skyddet för den personliga integriteten, Bedömningar och förslag, SOU 2008:3. 2.3.1Personlig integritet – en mänsklig rättighet Personlig integritet är en grundläggande mänsklig rättighet som skyddas av internationella konventioner, och svensk grundlag. Rätten till privatliv uttrycks i den Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (EKMR). Grundläggande är rätten till respekt för privat- och familjeliv, hem och korrespondens.13 Konventionen har införts som lag i . Även i EU:s stadga om grundläggande rättigheter uttrycks rätten till respekt för privat- och familjeliv. Här finns också en särskild bestämmelse om rätt till skydd för personuppgifter.14 Stadgan är rättsligt bindande för EU:s medlemsstater. I regeringsformen finns regler om rätt till skydd för den personliga integriteten.15 Bland annat ges skydd mot hemlig avlyssning och mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Utgångspunkten i dataskyddsförordningen är också rättighetsperspektivet –att skydda enskildas grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.16 Tas utgångspunkt i ett filosofiskt perspektiv snarare än ett rättsligt kan man på ett övergripande plan säga att det finns två olika huvudtyper av teoretiska skolor om personlig integritet; de som betonar den personliga integritetens betydelse för individen och de som snarare framhåller den personliga integritetens betydelse för kollektivets utveckling.17 I centrum för mer individualistiska teorier står den enskildes makt över sitt eget liv och ett begränsande av myndigheters godtyckliga makt. Rätten till personlig integritet är avgörande för att varje människa ska kunna bestämma vem han eller hon vill vara. En viktig aspekt av detta är den enskildes rätt att kontrollera uppgifter om henne eller honom och utflödet av sådan personlig information. Artikel 8 dataskyddsförordningen. Artikel 7–8 dataskyddsförordningen. 2 kap. 6 § andra stycket regeringsformen. Artikel 1.2 dataskyddsförordningen. En mer utförlig genomgång av olika teorier om personlig integritet finns i delbetänkande ; Hur är det ställt med den personliga integriteten, SOU 2016:41, sid. 136–141. Ur ett individperspektiv har reflekterats över hur vi påverkas av att inte ha tillgång till oövervakade och fria rum, där vi tryggt kan dela frågor, erfarenheter, personliga upplevelser och utvecklas i dialog med våra närmaste. I en publikation redan från slutet av 1960- talet18 konstaterades att skyddet av den personliga integriteten bland annat är viktigt för att individen ska uppnå en känsla av personligt självbestämmande, ett känslomässigt lugn, att fritt kunna värdera andra människors och sitt eget handlande samt att kunna kommunicera fritt med andra efter eget val. I diskussioner om personlig integritet hörs ibland uppfattningen ”jag har ingenting att dölja”, vilket skulle legitimera en vid användning av personuppgifter. Poängen med ett starkt integritetsskydd är dock den enskilda individens rätt att välja själv. För vissa kan detta innebära att ”inte dölja någonting”, medan andra kan föredra att vara mer återhållsamma med vilken information de delar med sig av och till vem. De grundläggande mänskliga rättigheterna tillförsäkrar alla individer ett grundläggande skydd, som staten bedömt ska utgöra en gemensam skyddsnivå för alla, oavsett var individer i enskilda fall anser att gränsen borde gå. De skyddar på så sätt både individerna och kollektivet. 2.3.2Personlig integritet – en demokratifråga Förutom att personlig integritet är en rättighet som fyller en rad behov och syften för enskilda individer finns också ett antal argument och teorier som betonar den personliga integritetens betydelse för kollektivet och samspelet mellan människor. Rätten till privatliv är en förutsättning för att kunna utöva andra grundläggande rättigheter som åsikts-, yttrande- och organisationsfrihet. Skyddet av den personliga integriteten, som är en del i rätten till privatliv, är därmed i hög grad en demokratifråga. Ett väl utvecklat offentligt samtal och en frisk demokrati förutsätter oövervakade fria och privata rum där vi kan pröva tankar och åsikter innan vi eventuellt väljer att bli mer publika. Det är en viktig förutsättning för samspelet mellan människor att den enskilde individens rätt respekteras. Det innebär att den enskilde har vetskap om vilka personuppgifter som behandlas om honom eller henne och varför samt att den enskilde själv kan avgöra om uppgifterna ska vara publika eller komma andra till del. En uppgift som inte är känslig i ett visst sammanhang kan upplevas som djupt personlig och integritetskänslig i ett annat. Även skälen till att vi vill hålla information för oss själva kan variera. Det kan handla om vardagliga och sociala behov, men också om skydd för till exempel vår åsiktsfrihet, vår fysiska säkerhet eller rättssäkerhet. , Privacy and Freedom, 1967. Även vissa former av ekonomiskt samspel i samhället bygger på att vi, om vi vill, kan begränsa vilken information andra har om oss. Det kan till exempel handla om strategiska överväganden i en förhandlings- eller budgivningssituation. Ur ett samhällsperspektiv är det angeläget att säkerställa ett grundläggande skydd för alla människor, som drar upp riktlinjerna för vårt samspel och grundläggande demokratiska värderingar. Det är särskilt angeläget att säkerställa skyddet för vissa skyddsvärda grupper, till exempel barn och unga. När barns och ungas vardagsliv i allt högre utsträckning utspelar sig i digitala miljöer är det centralt att deras fri- och rättigheter värnas där, precis som i den fysiska världen. Barn och unga rör sig snabbt och vant mellan olika digitala tjänster, men det är inte alltid synonymt med att de inser risker eller förstår konsekvenser av det, konsekvenser som dessutom kan ligga långt in . 2.3.3Personlig integritet – en hållbarhetsfråga För att samhället ska kunna utnyttja digitaliseringens möjligheter på ett hållbart sätt är en förutsättning att människor, företag och organisationer känner tillit till digitala tjänster. Om människor känner oro för att deras personuppgifter hanteras felaktigt finns en risk att de väljer att avstå från att använda en digital tjänst. I en undersökning som genomförde 2019 uppgav hälften av de tillfrågade individerna att de ibland eller ofta avstår från att använda en digital tjänst om de upplever osäkerhet kring hur deras personuppgifter kommer att hanteras.19 Att behålla medborgarnas tillit till digitala lösningar är därmed avgörande för att realisera nyttan av digitala investeringar. Ett antal företag och organisationer har också fått erfara vidden av den förtroendeskada en personuppgiftsincident kan orsaka. I en hållbar affärsmodell är därför ett effektivt integritets- och dataskydd avgörande för långsiktig affärsutveckling och hållbar lönsamhet. Integritetsskydd kan även ses som en hållbarhetsfråga i ett mer globalt perspektiv. Hållbar utveckling definieras ofta som ”en utveckling som tillfredsställer dagens behov utan att äventyra kommande generationers möjligheter att tillfredsställa sina behov”.20 Om vi skapar och gör oss beroende av system och processer där vi utvinner och använder stora datamängder på ett oproportionerligt integritetskränkande sätt som medför omfattande möjligheter till kontroll och övervakning, kan kommande generationer komma att påverkas genom att deras möjligheter till en privat sfär och kontroll över deras data i praktiken är satt ur spel.