prop · H903203 · 2022-03-30 00:00:00 — Noterbart är att domstolen ofta gjort en strikt tolkning av dataskyddsreglerna. Ett av de mer uppmärksammade målen rör EU- domstolens underkännande av Privacy Shield där domstolen klargör vad som gäller vid överföring till tredje land (Schrems II).89 slår i målet fast att Privacy mellan och inte ger ett tillräckligt skydd för personuppgifter när dessa förs över till . Domstolen ansåg att kommissionens beslut om standardavtalsklausuler är fortsatt giltigt och att sådana kan användas vid överföring till länder utanför EU, men att det kan behövas ytterligare skyddsåtgärder. Så är fallet om mottagarlandet genom sin lagstiftning eller praxis inte kan anses tillförsäkra en i allt väsentligt likvärdig skyddsnivå för uppgifterna som inom EU. Domstolen uttalar också tydligt en förväntan på tillsynsmyndigheterna att granska de klagomål som kommer in, i vart fall i gränsöverskridande ärenden, då det är grundläggande för att kunna tillförsäkra enskilda deras grundläggande rättigheter. 4.3.1Flera mål rör samtycke, personuppgiftsansvar och privatundantagets gränser Ett par ärenden förtydligar vad som gäller för att använda samtycke som rättslig grund för personuppgiftsbehandlingen. I det så kallade Planet49- målet90 uttalade domstolen att ett samtycke måste lämnas genom en otvetydig viljeyttring vilket förutsätter ett aktivt beteende från den som lämnar sitt samtycke. Att man måste ”avmarkera” en på förhand ikryssad ruta för att vägra sitt samtycke utgör därmed inte ett giltigt samtycke. I fallet Romania91 förtydligade domstolen att ett samtycke inte är giltigt, när villkoren i avtalet kan vilseleda den enskilde individen om möjligheten att ingå avtalet även om han eller hon vägrar att ge sitt samtycke. Ett samtycke är inte heller giltigt när den personuppgiftsansvarige på ett otillbörligt sätt påverkar möjligheten att fritt motsätta sig behandlingen genom att kräva att individen fyller i ytterligare ett formulär för att ge uttryck för denna vägran. Flera mål har rört personuppgiftsansvaret och dess gränser. I fallet Wirtschaftsakademie92 angav domstolen att enbart den omständigheten att någon använder sig av ett socialt nätverk inte innebär att en användare blir medansvarig för detta nätverks behandling av personuppgifter. Genom att skapa en sida och på den ge Facebook möjlighet att placera kakor hos en person som besöker sidan, oavsett om denne har ett konto hos Facebook, ansågs administratören dock ha medverkat till att fastställa ändamålen och medlen för behandlingen och betraktades därför som gemensamt personuppgiftsansvarig med Facebook för behandlingen. IFashion ID-målet93 konstaterades att genom att integrera ett insticksprogram från ett socialt nätverk på sin webbplats, som översänder webbplatsbesökarnas personuppgifter till det sociala nätverket, hade företaget tillräckligt stort inflytande över behandlingen för att bestämma att den ska inledas eller avslutas och var därmed gemensamt personuppgiftsansvarigt med det sociala nätverket för den del av personuppgiftsbehandlingen som utfördes genom insticksprogrammet. I bedömningen togs även hänsyn till att företaget hade ett ekonomiskt intresse i att behandlingen utfördes. Domstolen har slutligen konstaterat att ett utskott i ett delstatsparlament är personuppgiftsansvarig, i den mån utskottet ensamt eller tillsammans med andra fastställer ändamålen och medlen för behandlingen.94 Ett par fall har rört det så kallade privatundantagets gränser. Insamling av personuppgifter som medlemmar i ett religiöst samfund ägnar sig åt inom ramen för sitt predikoarbete genom dörrknackning och senare behandlar omfattas inte av privatundantaget.95 För att privatundantaget ska vara tillämpligt får inte föras register, särskilda förteckningar eller andra arrangemang som medger sökning. Vidare konstateras att samfundet ska anses ansvarigt för behandlingen av personuppgifter som samlats in av dess medlemmar. har också i ett mål bekräftat tidigare praxis att privatundantaget inte omfattar spridning av personuppgifter på internet till ett obegränsat antal personer. Inspelning av ett videoklipp på en polisstation som publicerats på internet ansågs vara en form av personuppgiftsbehandling där privatundantaget inte var tillämpligt.96 Dom av , Facebook och Schrems, C-311/18, EU:C:2020:559. Dom av , Planet49, C-673/17, EU:C:2019:801. Dom av , , C-61/19, EU:C:2020:901. Dom av , Wirtschaftsakademie , C-210/16, EU:C:2018:388. Dom av , Fashion ID, C-40/17, EU:C:2019:629. Dom av , Land , C-272/19, EU:C:2020:535. Dom av , Jehovan todistajat, C-25/17, EU:C:2018:551. Dom av , Buivids, C-345/17, EU:C:2019:122. Domstolen förtydligade också att behandling av personuppgifter uteslutande för journalistiska ändamål sker om behandlingen endast syftar till att sprida information, åsikter eller idéer till allmänheten. Undantaget för journalistiska ändamål ska dock endast tillämpas om det är nödvändigt för att förena rätten till skydd för personuppgifter med rätten till yttrandefrihet. 4.3.2 Mål som rör sökmotorer Ett par avgöranden rör sökmotorer. konstaterade i ett mål rörande Google97 att det vid begäran om borttagande (rätten att bli bortglömd) inte finns någon automatisk skyldighet att göra sökträffar otillgängliga globalt. Vid borttagning av sökträffar är dock sökmotorleverantörerna ansvariga att vidta åtgärder som ska hindra eller i betydande utsträckning avhålla andra internetanvändare från att komma åt de aktuella länkarna genom att söka på personens namn. Det omfattar att ta bort länkar från alla versioner av sökmotorn som finns på EU-medlemsstaternas toppdomäner, , .fr eller. Däremot behöver länkar inte per automatik göras otillgängliga vid sökningar från tredje länder. konstaterade samtidigt98 att förbudet mot behandling av känsliga personuppgifter och uppgifter om lagöverträdelser är tillämpligt för en sökmotorleverantör i sin egenskap av personuppgiftsansvarig. Behandling av känsliga personuppgifter kan ibland vara motiverad, men en registrerad kan ha rätt att få sökträffar borttagna ändå. Om en sökträff innehåller känsliga personuppgifter så kan personuppgiftsbehandlingen utgöra ett synnerligen allvarligt ingrepp i den personliga integriteten, vilket ska vägas in i bedömningen. Det finns också några avgöranden som avser lagstiftning som angränsar till dataskyddslagstiftningen.99 Dom av , Google, C-507/17, EU:C:2019:772. Dom av , GC m.fl., C-136/17, EU:C:2019:773. Till exempel har förtydligat sin praxis gällande ingrepp i den enskildes rätt till skydd av elektronisk kommunikation (dom av , Ministerio Fiscal, C-207/16, EU:C:2018:788) och möjligheterna att ålägga en leverantör av elektroniska kommunikationstjänster att utföra lagring av trafik- och lokaliseringsuppgifter i syfte att bekämpa brott i allmänhet eller för att skydda nationell säkerhet (dom av , , C-623/17, EU:C:2020:790 och dom av , La Quadrature du Net m.fl., förenade målen C-511/18, C-512/18 och C-520/18, EU:C:2020:791). Detta kapitel är rapportens kärna, här beskrivs digitaliseringen och teknikutvecklingen uppdelat på sammanlagt sexton olika teknikutvecklingsområden. Vissa avsnitt är mer fördjupade, medan andra innehåller mer övergripande beskrivningar. Vi ger exempel på vilka nyttor och användningsområden som finns med tekniken, men också vilka integritetsrisker. Vi har delat upp teknikutvecklingsområdena i teknik som påverkar olika delar av personuppgifternas livscykel - där uppgifter samlas in, bearbetas och analyseras, lagras, säkras, transporteras och förstörs. Kapitlet inleds med ett avsnitt om tempot i teknikutvecklingen. 5.1Hastigheten i teknikutvecklingen är exponentiell Hastigheten i teknikutvecklingen är exponentiell, vilket förenklat innebär att kapaciteten fördubblas . Genombrott inom ett teknikområde skapar förutsättningar för framsteg inom andra områden. Att teknik som till exempel beräkningskraft, uppkopplingshastighet, lagringsutrymme och kamerasensorer utvecklas exponentiellt innebär sammantaget att de kommande 100 åren beräknas komma att motsvara 20 av teknikutveckling. Teknikutvecklingen kan också illustreras med antalet publicerade patent. har antalet patent som avser maskininlärning, molnlösningar, biometri, Internet of things (IoT) och big data fördubblats. Störst är ökningen inom IoT där en fyrdubbling skett 2019 jämfört med . Den tekniska utvecklingen och implementeringen av ny teknik går mycket snabbt framåt. Genombrott inom ett teknikområde skapar förutsättningar för framsteg inom andra områden och sammantaget ändras förutsättningarna kontinuerligt. Ett konkret exempel på hur utvecklingen inom olika teknikområden förstärker varandra är att intresset för AI tagit ordentlig fart tack vare tillgången på stora datamängder (big data) i kombination med ökad lagringskapacitet i molnet och ökad processorkraft. Med ökad användning av AI ökar i sin tur efterfrågan på data ytterligare, eftersom AI-baserade system behöver stora mängder relevant information att lära av. Innovation möjliggör nya innovationer och skapar ett slags ”ränta på ränta-effekt” som accelererar tempot i teknikutvecklingen. En annan faktor som bidragit till att förstärka och snabba på utvecklingen är att många teknikområden relativt gått från att primärt vara forsknings- och utvecklingsområden till att nu användas i praktiken. har många verksamheter tagit steget från att bevaka teknikutvecklingen till att faktiskt börja använda den i praktiken. När tekniken går från teoretiska koncept till faktiska produkter och tjänster tas ytterligare steg i innovationsprocessen.100 Därmed sker kommersialisering, anpassning, vidareutveckling och korsbefruktning med annan teknik i snabb takt. Ett välkänt sätt att beskriva hastigheten i dagens teknikutveckling är den så kallade Moores lag, uppkallad efter en av företaget grundare . Förenklat kan Moores lag sammanfattas i att antalet transistorer i en integrerad krets fördubblas , vilket också skett . Moores lag kan, utöver beräkningskraft, appliceras på allt från uppkopplingshastigheter, lagringsutrymme, kamerasensorer och annan teknik som är central inom digitalisering. Allt som har beräkningar som grund, och som digitaliseras, kan alltså utvecklas enligt denna exponentiella lag. Det här har skett inom en mängd områden, men vi är ännu bara i början.101 Exponentiellt tänkande är inte intuitivt. I en värld med exponentiell utveckling ökar därför diskrepansen mellan den värld vi lever i och vår förmåga att förstå och förutspå framtiden. Ett exempel kan tas i om vi tar 30 linjära steg jämfört med 30 exponentiella. 30 linjära steg tar oss . 30 exponentiella steg tar oss däremot en miljard meter bort, eller motsvarande 26 varv runt jorden. Översatt till teknikutveckling kommer de kommande 100 åren, enligt denna exponentiella lag kallad The of Accelerating Returns, att motsvara 20 av teknologisk utveckling.102 Ett annat sätt att illustrera hastighet och fokus i teknikutvecklingen är genom statistik över antalet patentansökningar. () publicerar regelbundet global statistik över antalet patentansökningar.103 En sökning i deras publika databas över globala patent avseende maskininlärning, molnlösningar, biometri, Internet of things (IoT) och big data illustrerar trenden tydligt. Enbart – 2019 har antalet publicerade patent fördubblats. Diagrammet nedan visar tillväxten av antalet publicerade patent som innefattar nyckelorden machine-learning, cloud computing, biometric, IoT, big data och cryptographic . Antal publicerade patent som innehåller respektive sökterm, 2011-2019 En närmare fördjupning i statistiken visar att det är inom IoT som den största ökningen skett. 2019 publicerades mer än fyra gånger så många patent som innehöll sökordet IoT under jämfört med . Diagrammet nedan visar den procentuella tillväxten av antalet publicerade patent i en jämförelse . Tillväxten i antalet publiceringar var för samtliga söktermer.104 Tillväxt i antalet publicerade patent vid en jämförelse 104. (sökningen genomfördes med inställningen ””). Personuppgifter hanteras vanligen i en livscykel som börjar med att uppgifterna samlas in och avslutas med att de förstörs. Däremellan lagras, säkras, bearbetas och används samt transporteras uppgifterna –men inte nödvändigtvis i den ordningen. Redovisningen av utvecklingen på itområdet delas här in utifrån livscykelns olika delar. För att beskriva teknikutvecklingen har utgångspunkten tagits i vad som kan sägas vara personuppgifternas livscykel. Cykeln börjar med att uppgifterna samlas in/ upprättas och avslutas med att uppgifterna förstörs eller arkiveras. Inom vissa verksamheter finns krav på att uppgifter ska sparas, antingen eller för evigt. I sådana fall avslutas livscykeln med att uppgifterna arkiveras. Däremellan lagras, delas, bearbetas och används uppgifterna – men inte nödvändigtvis i den ordningen. Under hela livscykeln behöver också personuppgifterna säkras. I den tidiga datoriserade bearbetningen av personuppgifter skedde behandlingen som regel i en bestämd och förutsägbar ordning. Efter den inledande insamlingen/upprättandet, följde lagring och säkring, bearbetning/användning, eventuell med en eller flera transporter och sist förstörande. Den tekniska utvecklingen har medfört att de olika stegen i livscykeln kan ha en annan, mer oförutsägbar ordningsföljd och ske i ett antal loopar. finns till exempel teknik där uppgifter säkras genom kryptering och bearbetas direkt i enheten som uppgifterna samlats in med – det vill säga innan uppgifterna lagras eller transporteras. Uppgifter kan också samlas in, bearbetas och förstöras i en och samma enhet och i realtid, utan att behöva transporteras. I andra fall sker transport av stora volymer personuppgifter kontinuerligt mellan samtliga steg i livscykeln – exempelvis när uppgifterna lagras och bearbetas i molntjänster som administreras av en tredje part. Totalt beskrivs i det följande avsnittet sexton aktuella teknikutvecklingsområden, fördelade på de olika delarna i livscykeln. Vissa avsnitt innehåller mer djuplodande fördjupningar, medan andra avsnitt mer utgör allmänna beskrivningar av teknikområden som förutsätter insamling, bearbetning, transport, säkring, lagring och förstöring/arkivering av stora mängder data. Ofta dessutom personuppgifter. 5.3 Teknik för att samla in data De omfattande affärsmöjligheter som ligger i stora datamängder har skapat starka incitament för att utveckla teknik för att samla in data. Nya typer av sensorer och sändare utvecklas mot att bli allt mindre men mer kraftfulla, vilket gjort det väsentligt lättare att samla in stora datamängder. Ytterligare ett område där teknikutvecklingen gått snabbt framåt handlar om nya former för interaktion mellan människa och dator. har röststyrningsteknik fått ett brett genomslag och spridits från mobiltelefoner och datorer till bland annat bilar, klockor, hörlurar och olika smarta prylar i hemmet som till exempel TV-apparater. Även teknik för avläsning av fingeravtryck och ansiktsigenkänning utvecklas snabbt. Utvecklingen inom Internet of things, IoT, utgör ett särskilt riskområde. Den omfattande insamlingen av data som sker på nätet flyttar genom IoT ut i den fysiska världen. Kombinationen av utveckling inom ”smarta städer” och ”smarta hem” gör att vi omges av allt mer potentiellt integritetskränkande teknik – såväl i det offentliga rummet som i intima hemmiljöer. En stor andel IoT-enheter har visat sig ha bristande säkerhet. Forskare har till exempel visat hur man kan ta kontroll över en modern bil via ett trådlöst nät, eller via fjärrstyrning manipulera en pacemaker eller insulinpump. Ytterligare ett riskområde är teknik för webbskrapning som automatiskt samlar in data från exempelvis sociala medier. Kännetecknande är ofta att informationsmängderna blir så stora att det blir oöverblickbart. Ett färskt exempel är ett företag som samlat in tre miljarder ansiktsbilder från miljoner olika webbplatser. Risker för den enskilde individen med den ökande datainsamlingen handlar bland annat om att det blir allt svårare att upptäcka, kontrollera eller välja bort att data om vårt beteende och rörelsemönster samlas in – dels på nätet, dels i den fysiska världen. En särskild typ av datainsamling som i ökande utsträckning används inom allt fler samhällsområden handlar om insamling av biometriska uppgifter. Biometri innebär att mäta kroppens egenskaper (till exempel hand- eller fingeravtryck, mönster i ögats iris, ansikts- eller kroppsform och röstavtryck) eller individers beteenden (till exempel gångstil, rörelse- och talmönster, handstil, ansiktsuttryck och sömnmönster) för att verifiera, autentisera eller identifiera individer. Användning av biometriska uppgifter kan skapa ökad bekvämlighet, snabbhet och säkerhet. medför den ökande användningen av biometriska uppgifter betydande integritetsrisker. En av de främsta riskerna handlar om att biometriska data (till skillnad från till exempel lösenord eller passerkort) inte kan bytas ut om uppgifterna skulle hamna i orätta händer. De biometriska uppgifterna är beständiga, vilket gör en integritetsförlust svår att reparera. Personuppgifter har kommit att bli ett centralt värde i den digitala ekonomin och jämförs inte sällan med olja, guld eller ett slags valuta. Jämförelsen med olja bygger på att data är ett nödvändigt bränsle i så gott som alla branscher. Liksom olja behöver data också förädlas för att vara användbar. I princip alla företag, myndigheter och organisationer behandlar personuppgifter på ett eller annat sätt. För en del företag utgör data själva grunden för affärsmodellen och i de allra flesta verksamheter finns också stora möjliga nyttor och vinster med att på olika sätt bearbeta, analysera och dela data. Data är också själva grunden för tillväxt inom åtskilliga branscher och utgör därmed en renodlad handelsvara. Personuppgifter säljs som produkt och insamling av uppgifter erbjuds som tjänst. Att uppskatta omsättningen i den globala handeln med data är svårt, men som fingervisning kan nämnas att enbart intäkterna för datamäklarbranschen (eng. data brokers) uppskattades till 21 miljarder amerikanska dollar.105 Datamäklare är företag som har som affärsidé att samla in personuppgifter och sälja dem vidare, ofta paketerade till exempel som konsumentprofiler. En konsumentprofil kan innehålla både demografiska och geografiska uppgifter, men också uppgifter om den enskildes livsstil och intressen. Personuppgifterna kan komma från vitt skilda källor: sociala medier, offentliga register eller andra företags kundregister. Sammantaget kan informationen användas till exempel för att anpassa marknadsföring, upptäcka bedrägerier eller göra risk- och kreditbedömningar. När den här typen av datapaketering köps som tjänst ingår ofta såväl insamling, rensning, löpande uppdatering och anpassning av data. Möjligheterna att tjäna pengar på data utgör en stark drivkraft bakom utvecklingen av teknik för att samla in personuppgifter. En stor andel av uppgifterna samlas in med den enskilde individens medgivande exempelvis via sociala media, strömningstjänster, appar, digitala tjänster eller när vi handlar via nätet. För att kunna använda en digital tjänst ombeds vi bli medlemmar eller starta ett konto, där vi i användarvillkoren godkänner att uppgifter om oss samlas in. är komplexiteten stor i hur data delas mellan företag. Ofta är det för den enskilde individen oöverskådligt och svårt att bedöma vilka företag som kommer få tillgång till ens personuppgifter och varför. Hur handel med data i den digitala annonsindustrin går till beskrivs mer utförligt i avsnitt 5.4.3. I flera av de intervjuer som genomfört i arbetet med denna rapport framhålls den ökande insamlingen av data om vårt beteende och rörelsemönster, dels i den fysiska världen, dels på nätet, som den mest betydelsefulla teknikutvecklingen som påverkat den personliga integriteten . Utvecklingen ger en mängd aktörer tillgång till en fullständig bild av våra liv, våra intressen, våra kontakter med mera. Det faktum att uppgifter delas mellan olika aktörer på ett sätt som ofta är svåröverblickbart för den enskilde individen gör integritetsriskerna större. Företag driver på utvecklingen genom att kontinuerligt utveckla nya affärsmodeller som bygger på att erbjuda en digital tjänst mot att företaget får tillgång till – och därmed kan tjäna pengar på – data om användaren. lät 2017 göra en kartläggning av hur personuppgifter används som betalningsmedel. Problematiska beteenden som identifierat handlar bland annat om svepande datainsamling som inte är transparent, det vill säga när mer data samlas in än vad som behövs för det uttalade syftet och tredjepartsinsamling, det vill säga när personuppgifter samlas in och hanteras av någon annan part än den som en konsument har en tydlig relation till. Även spel riktade till barn, med marknadsföring eller köpuppmaningar i spelen, och så kallad clickbaitjournalistik, det vill säga webbinnehåll som syftar till att generera inkomster från online-annonsering med sensationella rubriker eller iögonfallande bilder som lockbete ses av som problematiskt.106 Drivkraften att samla in och bearbeta personuppgifter kan vara så stark att verksamheter väljer att göra det utan att enskilda individer är medvetna om insamlingen, samtycker till den eller samtycker till hela tjänstens omfattning.107 Detta strider mot dataskyddsförordningens grundläggande principer och krav på rättslig grund för behandlingen, men riskerar i hög utsträckning att förbli oupptäckt. Möjligheten att tjäna pengar på personuppgifter gör det också till en attraktiv tillgång för olika typer av hotaktörer. På Darknet – den hemliga, dolda delen av internet där en hel del olaglig verksamhet pågår – går det att beställa olaglig insamling av personuppgifter som tjänst. I rapporten ”In the dark” beskrevs hur stulna och känsliga personuppgifter säljs via olika handelsplatser på Darknet.108 Prislistor figurerar med information om hur mycket det kostar att komma över en individs inloggningsuppgifter till olika bank- och betalningstjänster, sociala media-lösenord etcetera. Det går också att beställa attacker mot ett företag eller en organisation som hanterar stora mängder känsliga personuppgifter. I rapporten ges också exempel på försäljning av stora datafiler från tidigare genomförda dataintrång riktade mot specifika webbplatser. Som ett exempel kan nämnas att det enligt rapporten kostar att få tillgång till 65 miljoner dataposter från en av de marknadsledande släktforskningstjänsterna. 2017:4; Personuppgifter som Detta förutsätter att den rättsliga grunden är samtycke. ; Are data more like oil or sunlight?. Det finns också flera exempel på hur företag och myndigheter har utsatts för utpressningsförsök när bedragare på något sätt har kommit åt inloggningsuppgifter i en verksamhet eller på annat sätt fått tillgång till omfattande datasamlingar. Ett exempel är den omfattande läckan av privata patientjournaler från finska psykoterapibolaget som har beskrivits som en omfattande och sällsynt hackerattack. Journalerna innehåller intima uppgifter om patienternas privatliv men även deras adresser och fullständiga namn. Patienter vars journaler läckt har utpressats att betala pengar för att stoppa spridningen av de privata uppgifterna på nätet. Ett antal journaler ska ha lagts Sammanfattningsvis kan konstateras att incitamenten för att utveckla teknik för att samla in data är stora, givet de omfattande affärsmöjligheter som ligger i värdet av data. Nedan ges fördjupningar inom några teknikutvecklingsområden som särskilt ökat möjligheterna att samla in data. 5.3.1 Sensorer och sändare En förutsättning som gjort det betydligt lättare att samla in mer data är utvecklingen av nya typer av sensorer och sändare. Tack vare sensorer och sändare som tar mindre utrymme, men är mer kraftfulla, har nya och förbättrade möjligheter skapats att samla in data i alla slags former: bild, ljud, rörelse, temperatur, tryck, ljus, position, lutning, magnetism etcetera.