prop · H903203 · 2022-03-30 00:00:00 — Utvecklingen går mot att IoT används inom allt fler samhällsområden och på allt fler geografiska platser för att samla in data. En stor andel IoT-enheter har visat sig ha bristande säkerhet. Forskare har till exempel visat hur man kan ta kontroll över en modern bil via ett trådlöst nät, eller via fjärrstyrning manipulera en pacemaker eller insulinpump. Med teknik för webbskrapning som kombineras med artificiell intelligens, AI, är det förhållandevis enkelt att samla in och bearbeta mycket stora informationsmängder från nätet, exempelvis från sociala medier. Kännetecknande är ofta att informationsmängderna blir så stora att det blir oöverblickbart och kräver AI-teknik för bearbetning. En särskild typ av datainsamling som i ökande utsträckning används inom allt fler samhällsområden handlar om insamling av biometriska uppgifter. Biometri innebär att mäta kroppens egenskaper (till exempel hand- eller fingeravtryck, mönster i ögats iris, ansikts- eller kroppsform och röstavtryck) eller individers beteenden (till exempel gångstil, rörelse- och talmönster, handstil, ansiktsuttryck och sömnmönster) för att verifiera, autentisera eller identifiera individer. Användning av biometriska uppgifter kan skapa ökad bekvämlighet, snabbhet och säkerhet. medför den ökande användningen av biometriska uppgifter betydande integritetsrisker. En av de främsta riskerna handlar om att biometriska data (till skillnad från till exempel lösenord eller passerkort) inte kan bytas ut om uppgifterna skulle hamna i orätta händer. De biometriska uppgifterna är beständiga, vilket gör en integritetsförlust svår att reparera. 1.1.2.2Ny teknik för att bearbeta och analysera data De ökade möjligheterna att samla in data skulle i praktiken vara värdelösa om inte tekniken för att bearbeta och använda uppgifterna också tagit stora utvecklingssprång. Utvecklingen av artificiell intelligens (AI) har därför haft avgörande påverkan på den personliga integriteten . De möjliga nyttorna med AI är stora och den outnyttjade potentialen fortfarande stor. uppges av svenska företag och i offentlig sektor använda AI i sina verksamheter. innebär AI integritetsrisker för den enskilde i form av bland annat bristande transparens, diskriminering, försvårat ansvarsutkrävande, missbruk och fientlig användning. Särskilda risker finns vid automatiserade processer i beslutsfattande, när ett beslut kan få stora konsekvenser för den enskilde. Ett av de områden där den omfattande AI-bearbetningen av stora datamängder blir allra mest uppenbar för många människor är den digitala annonsmarknaden. De komplexa och icke transparenta processerna som kan inkludera hundratals aktörer gör det i praktiken omöjligt för den enskilde att utnyttja sina rättigheter, till exempel att få information raderad. Affärsmodellerna gör det i praktiken också mycket svårt för företagen att ha kontroll och uppfylla sina skyldigheter när det gäller enskildas rättigheter. Såväl norska som brittiska myndigheter har i färska analyser kommit till slutsatsen att stora delar av den digitala annonsmarknaden systematiskt bryter mot dataskyddslagstiftningen. 1.1.2.3Ny teknik för att lagra, säkra och transportera data I takt med att insamlingen och bearbetningen av data blir allt mer omfattande och sofistikerad växer också kraven på lagringskapacitet. Den teknik som svarat väl mot de stora behoven av lagringskapacitet är avancerad molnlagring. En utmaning med bearbetning eller lagring i molntjänster är att marknaden för molntjänster domineras av amerikanska aktörer vilket kan medföra att lagringen, efter avgörande i det så kallade Schrems II-målet, inte är laglig. En konsekvens av att lagringskapaciteten har ökat och att kostnaderna för lagring minskat är att incitamenten att förstöra data minskat. förstördes gammal data för att hushålla med lagringsutrymme och göra plats för ny. Inom övriga områden har teknikutveckling inom ett område drivit på utvecklingen inom andra områden. När det gäller teknik för att förstöra data har utvecklingen gått i motsats riktning, och väsentligt större fokus har lagts på ny teknik för att återskapa raderad data, än teknik för att permanent förstöra den. Ett utvecklingsområde som kan innebära fördelar ur ett integritetsperspektiv handlar om var data bearbetas – i centrala datacentra och serverhallar eller lokalt. Teknik för edge computing medför att bearbetning av data nu allt oftare kan ske lokalt, i uppkopplade enheter med låg kapacitet eller i lokala servrar. Detta innebär att data i mindre utsträckning behöver transporteras och delas, vilket kan skapa bättre kontroll. Med utvecklingen inom IoT ökar också behovet av lagring och säkring direkt i enheterna utan att behöva transportera data i nätet. Sådan teknik benämns ofta edge storage och edge security, det vill säga att personuppgifter kan lagras och säkras direkt i de lokala enheter där de samlas in, exempelvis i en privatpersons smarta mobiltelefon. En ökad insamling och förmåga att bearbeta och använda data ställer också helt nya krav på infrastruktur och teknik för att transportera stora datamängder. 5G är nästa generation av mobila nätverk med extremt hög kapacitet för att transportera data. För är utvecklingen mot 6G redan en prioriterad fråga. Ett centralt användningsområde för 5G och 6G kommer att vara IoT med till exempel uppkopplade enheter i industrin och i smarta städer. En integritetsrisk kopplat till 5G handlar om att geografisk positionering kommer vara möjligt med mycket med större precision . Ett annat exempel på integritetsrisker som 5G medför är kopplat till en ökad insamling av högupplöst bildmaterial. Möjligheten att utan fördröjning överföra stora mängder högupplösta bilder kommer sannolikt utgöra en pådrivande faktor för en ökad direkt och indirekt insamling av biometrisk data. Andra former av digital kommunikationsteknik som utvecklas tar sikte på kommunikation på nära avstånd, till exempel mellan enheter i ett och samma rum eller i chip som kan monteras i prislappar. Utvecklingen med fler uppkopplade enheter och ökad molnlagring har ökat antalet möjliga vägar för angripare att komma åt system, nät, datorer, enheter eller servrar. En ökad hotbild har drivit på utvecklingen av ny säkerhetsteknik som till exempel automatiserade säkerhetslösningar baserade på AI. Även nya och fler lättanvända krypteringslösningar har utvecklats . Rätt använd kan den nya tekniken stärka integritetsskyddet. 1.1.3 Hur bra är integritetsskyddet ? I rapporten görs ett antal övergripande iakttagelser utifrån , IMY:s, olika verksamhetsområden efter de första drygt två och ett halvt åren sedan dataskyddsreformen genomfördes. efter att dataskyddsförordningen trädde i kraft genomförde en undersökning av hur långt dataskyddsarbetet kommit i svenska företag, myndigheter och andra organisationer. Resultatet visade att de flesta fått grundläggande strukturer och rutiner på plats, men att det fortfarande i många verksamheter saknades ett systematiskt och kontinuerligt arbete. Branscher som hade större utmaningar var generellt kommuner och regioner, transportsektorn, hotell- och restaurangbranschen samt småbolag med mindre än 10 anställda. Genomgående beskrev företag, myndigheter och andra organisationer att de största utmaningarna i dataskyddsarbetet handlade om att få till fungerande processer i det löpande arbetet och att tolka regelverket. IMY:s övergripande bedömning är att det , efter att dataskyddsförordningen trädde i kraft, fortfarande i många verksamheter finns omfattande brister som rör grundläggande skyldigheter i dataskyddsarbetet. De närmare 500 sanktionsavgifter som utfärdats inom EU visar att de vanligaste överträdelserna handlar om att de grundläggande principerna inte följs, att rättslig grund för behandlingen saknas, att enskildas rättigheter inte hanteras som de ska eller att säkerhetsåtgärderna varit otillräckliga. Även de cirka 7 500 klagomål som skickats in till ger bilden av att det finns återkommande brister kring rättslig grund, enskildas rättigheter och säkerhetsåtgärder. Ungefär en fjärdedel av alla klagomål handlar om de rättigheter som förordningen ger medborgarna. Den vanligaste rättigheten som berörs i klagomålen är rätten till radering och därefter rätten till information. Andra vanliga klagomål handlar om bristande säkerhet eller att medborgare ifrågasätter om verksamheterna har rätt att hantera personuppgifter på det sätt de gör, det vill säga om det finns rättslig grund. Omkring 11 000 personuppgiftsincidenter har anmälts i sedan dataskyddsförordningen trädde i kraft. En viktig slutsats från anmälningarna är att många incidenter orsakas av den mänskliga faktorn. Det accentuerar behovet av att relevanta it-säkerhetsåtgärder kompletteras med organisatoriska åtgärder i form av till exempel löpande utbildning och andra åtgärder för att öka kunskapen och medvetenheten hos medarbetarna. Bland de förhandssamråd som inkommit till återfinns flera där verksamheten önskar använda teknik för ansiktsigenkänning och biometriska uppgifter. Totalt sett är det dock få verksamheter som begärt förhandssamråd, vilket tyder på att åtgärden att genomföra konsekvensbedömningar behöver öka. En av de mest centrala och mest frekvent återkommande synpunkterna i de remisser svarat på har rört behovet av att tidigt i lagstiftningsarbetet göra en ingående integritetsskyddsanalys. Ju mer genomarbetad nationell lagstiftning som kompletterar dataskyddsförordningen är, desto enklare blir det för företag, myndigheter och andra organisationer att tolka och tillämpa dataskyddsreglerna. Vi får då också en lagstiftning som är homogen och heltäckande och ger verksamheterna det stöd de behöver för sin personuppgiftshantering. 1.1.4Exempel på svensk forskning om integritet och dataskydd I rapporten ges några exempel på färsk eller pågående svensk forskning inom integritet och dataskydd. Forskningen har identifierat flera riskområden när det gäller personlig integritet, bland annat när det gäller AI. Identifierade problemområden med AI handlar bland annat om risken för partisk AI och missbruk men också att säkerställa ansvarsfrågor och transparens. Inom akademin finns också ett antal pågående projekt och initiativ som på olika sätt syftar till att höja integritetsskyddet. Ett område som flera lärosäten forskar om är transparens och nya verktyg för att öka användarnas kunskap om och kontroll över vilka personuppgifter som samlas in och används – av vem, på vilket sätt samt eventuella konsekvenser av användningen. Integritet vid användning av appar har stått i fokus i flera studier. När det gäller inbyggt dataskydd och dataskydd som standard har forskare arbetat fram onlineutbildningar i dataskydd, bland annat en med särskilt inriktning mot inbyggt dataskydd. Forskning pågår också för att utveckla säkra molntjänster och höja säkerheten i IoT. Det är en sliten formulering att teknikutvecklingen går snabbt. Likväl är det – i beskrivningen av utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik – en helt avgörande utgångspunkt som behöver ligga till grund för alla efterföljande, mer detaljerade slutsatser och rekommendationer. Det finns en mängd svåra och angelägna dagsaktuella frågor i dataskyddsarbetet. Många organisationer uppvisar fortfarande brister i de grundläggande skyldigheter som införts genom dataskyddsförordningen. Att tolka och tillämpa regelverket utmanar företag och andra verksamheter, dataskyddsombud och andra som arbetar praktiskt med dataskydd samt dataskyddsmyndigheterna runt om i . Några exempel på utmaningar som varit särskilt aktuella är hur tredjelandsöverföringar (det vill säga överföring av personuppgifter till länder utanför EU/EES) ska hanteras efter avgörande i Schrems II-målet och olika frågor som aktualiserats med anledning av den pågående Covid 19-pandemin. Med exponentiell utveckling följer också – om inte riskreducerande åtgärder vidtas – exponentiellt ökande integritetsrisker. I exponentiella utvecklingsprocesser finns alltid en risk att vi tillmäter kortsiktiga frågor oproportionerligt stor betydelse och att de steg och mått som tas för att motverka risker är ”linjära”. Mot denna bakgrund är ambitionen här inte primärt att beskriva frågor som står högt på många dataskyddspraktikers agenda utan att peka på större och mer övergripande slutsatser och iakttagelser. Dessa ligger sedan till grund för de rekommendationer som rapporten utmynnar i. 1.2.1De flesta känner till att allt vi gör på nätet lämnar spår – men ny teknik tar datainsamlingen på nätet till nya dimensioner Att så gott som allt vi gör online lämnar spår och kan kartläggas förvånar knappast någon längre. För många människor i västvärlden är den digitala annonsmarknaden sannolikt det område där omfattningen (och hastigheten) i den datainsamling som sker på nätet blir som mest uppenbar. Utvecklingen av AI har varit en viktig möjliggörare. Ekonomiska drivkrafter har också spelat stor roll och möjligheterna att tjäna pengar på data har lett till framväxten av nya affärsmodeller som i stor utsträckning bygger på en ökad insamling och bearbetning av data. Vi har vant oss vid att en viss sökning på internet, ett besök på en viss webbsida eller nedladdning av en viss app resulterar i att annonser på samma tema syns i våra digitala flöden. Även om personaliserad marknadsföring på nätet för en del skapar en olustkänsla, har det blivit en del av vår digitala vardag. är det viktigt att understryka, att även om vi vant oss vid att vara föremål för omfattande spårning på nätet betyder det inte att databehandlingen är laglig. Tvärtom har flera europeiska myndigheter kommit till slutsatsen att en stor del av den handel med data som sker i den digitala annonsindustrin är problematisk. Flera myndigheter, såväl i som i andra EU-länder, har i granskningar av den digitala annonsindustrin visat på det stora antalet aktörer som våra personuppgifter sprids till. Ett besök på en webbplats eller nedladdning av en app leder till att våra personuppgifter delas med mellan 10 och 30 andra företag utan att vi har någon affärsmässig relation med dem. Såväl norska som brittiska myndigheter har i skarpa uttalanden klassat stora delar av den digitala annonsindustrin som illegal. Den brittiska dataskyddsmyndigheten konstaterar att datahantering som strider mot dataskyddsreglerna genomsyrar hela branschen. Tre problemområden pekas ut särskilt; brist på transparens, avsaknad av rättslig grund för att behandla uppgifterna och bristande säkerhet. Omfattningen av skapandet och delandet av konsumentprofiler är oproportionerlig, inkräktande och oriktig – särskilt som många användare är omedvetna om att processerna sker. Komplexiteten och de många aktörerna gör det svårt även för verksamheterna själva att fullt ut överblicka vem som tar del av vilken data. Att säkerställa tillräckliga säkerhetsåtgärder är därmed problematiskt, särskilt när personuppgiftsbehandlingen involverar känsliga eller särskilt integritetskänsliga personuppgifter. Det finns tydliga tecken på att negativa konsekvenser av den omfattande datainsamlingen som sker på nätet blivit en allt viktigare fråga för människor i . Allt fler känner oro för hur deras personuppgifter hanteras och allt fler vidtar åtgärder för att skydda sina personuppgifter, eller avstår helt från att använda digitala tjänster som upplevs som osäkra. Ändå är magnituden och de potentiella konsekvenserna av genomförd, men framför allt pågående och kommande, datainsamling svår att kontrollera och överblicka. Ett start-upbolag som erbjuder en app-lösning till brottsbekämpande aktörer är ett tydligt exempel på hur ny teknik tar datainsamlingen på nätet till nya nivåer. Företaget har med webbskrapningsteknik byggt upp en databas med tre miljarder ansiktsbilder som hämtats från bland annat sociala medier. Med hjälp av AI och ansiktsigenkänningsteknik är det möjligt att ta en bild av en person, matcha den mot databasen och få veta vem personen är och få tillgång till all information som finns tillgänglig på nätet om personen i fråga. Sammanfattningsvis har utvecklingen av AI bidragit till en kraftigt ökad insamling av data om vårt beteende på nätet som i grunden påverkat den personliga integriteten. Att vi vant oss vid att vara föremål för omfattande spårning på nätet är inte synonymt med att den omfattande insamlingen och bearbetningen av data som sker är laglig. Ur den enskilda individens perspektiv är ett centralt problem att möjligheterna att med AI-teknik bearbeta och samköra stora mängder data gör att information som ursprungligen inte är särskilt känslig – kanske inte ens utgör personuppgifter – i kombination med andra datamängder kan ändra karaktär och bli väldigt integritetskränkande. Det blir därmed allt svårare för enskilda att själva värdera känsligheten i en Genom allt större möjligheter att indirekt identifiera individer i stora datamängder utökas också integritetsskyddsområdet. Etiska frågor om personlig integritet och praktisk tillämpning av dataskyddsregelverken kan därför behöva beaktas även på områden och i frågor som vid första anblick inte alls handlar om behandling Ett annat dilemma är att bulken av all information som samlas in är information som finns öppet tillgänglig på nätet, inte sällan uppgifter som vi själva offentliggjort. I mindre mängder är uppgifterna ofta harmlösa, men när informationsmängderna ökar exponentiellt ökar också integritetsriskerna i samma takt. Slutligen ökar integritetsriskerna av det faktum att uppgifter delas mellan olika aktörer på ett sätt som ofta är svåröverblickbart för den enskilde individen. De allvarligaste överträdelserna går sannolikt att stävja med en kombination av kraftfull självsanering i branschen, skärpt tillsyn och kompletterande regelverk. Grundläggande informationssäkerhetsåtgärder är också en viktig del av lösningen – med en höjd lägstanivå minskar risken för felaktig hantering som beror på den mänskliga faktorn. IMY:s bedömning är dock att problem med olaglig datainsamling på nätet kommer att utgöra ett bestående problem . 1.2.2Med Internet of things flyttar spårningen på nätet ut i städer och hem Med bland annat hjälp av kroppsnära teknik och geospatiala sändare har datainsamlingen kommit att allt oftare omfatta våra rörelsemönster och beteenden även i den fysiska världen. Till vilka adresser åker vi, hur ofta, hur länge stannar vi, vilka andra är där ? Utvecklingen ger en mängd aktörer tillgång till en fullständig bild av våra liv, våra intressen, våra kontakter, våra rörelsemönster, vanor och beteenden. IMY:s bedömning är att Internet of things, IoT, är ett av de utvecklingsområden som kommer ha störst påverkan på den personliga integriteten . Att utvecklingstakten är hög när det gäller IoT visar sig genom att det är inom det här området som antalet patentansökningar har ökat snabbast . fyrdubblades antalet patentansökningar som rör IoT. Kombinationen av utveckling inom ”smarta städer” och ”smarta hem” gör att vi omges av allt mer högpresterande – och potentiellt integritetskränkande – teknik, såväl i det offentliga rummet som i våra hem. Det riktigt breda genomslaget för IoT bedöms dock fortfarande ligga framför oss. Drygt hälften av den svenska befolkningen uppgav 2019 att de hade en uppkopplad sak i hemmet. När det gäller tillämpningar i industrin och smarta städer bedöms utrullningen av 5G (och 6G) komma ha stor betydelse för en intensifierad användning . Tack vare sensorer och sändare som tar mindre utrymme, men är mer kraftfulla, har nya och förbättrade möjligheter skapats att samla in data i alla slags former i det fysiska rummet, i allt större volymer, i nya format, på nya platser och i nya sammanhang. Nya typer av sensorer och sändare kan tillsammans samla in data över ett mycket stort fysiskt område. De kan monteras fast på till exempel byggnader, men också kopplas till rörliga objekt som fordon eller drönare. Utvecklingen har kommit så långt att sensorer och sändare bedöms kunna krympa till storleken av ett dammkorn och kopplas ihop i nätverk av ”smart damm” som kan flyta med strömmar och vindar. Potentialen för utvecklingen har beskrivits som att multiplicera IoT miljoner gånger. En av de största riskerna med detta är att många av de IoT-produkter som utvecklats generellt har en låg säkerhetsnivå. En begränsande faktor i sammanhanget har sannolikt handlat om ekonomiska incitament – att bygga in ett adekvat skydd medför kostnader som kan upplevas som omotiverade så länge efterfrågan från konsumenterna inte är mer uttalad. På informations- och cybersäkerhetsområdet har flera svenska myndigheter pekat på att brister kring IoT medför risker ur ett säkerhetsskyddsperspektiv. Ur ett integritetsskyddsperspektiv handlar riskerna som följer av IoT och nätverk av uppkopplade sensorer och sändare främst om att enskilda individer ofrånkomligen riskerar att fångas upp och övervakas, även om det inte är syftet med datainsamlingen. Cyberfysiska system inom industrin eller smarta städer kommer att utgöra komplexa nätverk av fysiska maskiner, robotsystem, automatiserade fordon, digitala plattformar som kontrolleras av människor i kombination med AI-baserad mjukvara. När mängden data som kommuniceras mellan maskiner ökar kraftigt, finns en uppenbar risk att den indirekta datainsamlingen ökar i motsvarande utsträckning. Sensorer på byggnader eller bilar kan förväntas fånga upp även ”irrelevanta” data, till exempel bilder av personer som går över gatan. möjliggör 5G positionering och bildöverföring med mycket större precision och hastighet än tidigare nätverk. Under vissa omständigheter kommer det vara enkelt att identifiera enskilda individer, i synnerhet om datan samkörs med andra typer av uppgifter. Risken är stor att frånvaron av transparens som genomsyrar den digitala annonsmarknaden och annan handel med data på nätet sprider sig även till den fysiska världen, till smarta hem och smarta städer. Kännetecknande är att det i praktiken är omöjligt för den enskilde att överblicka hur ens data behandlas och av vem, men också svårt för de ansvariga verksamheterna att ha full kontroll över data och ansvarsförhållanden. Även de brister som finns på nätet i form av omfattande personuppgiftsbehandling utan rättslig grund och med bristande säkerhet riskerar att följa med ut i den fysiska världen. , och andra länder, kan komma att hamna i ett läge där vi först sent i pågående digitaliseringsvåg på allvar inser vidden av hur den personliga integriteten påverkas – eller kommer att påverkas – av den omfattande datainsamlingen. När funktioner som till exempel individualiserad uppvärmning eller avfallshantering från hushåll, nätverk av sensorer i ett alltmer automatiserat trafiknät eller ansiktsigenkänningsteknik i bilar för att upptäcka rattonykterhet väl har lanserats på bred front, kan det i praktiken vara omöjligt att återkalla eller begränsa en omfattande datainsamling även om den konstateras vara oproportionerlig, oriktig och integritetskränkande. Erfarenheterna från hur datainsamlingen på nätet utvecklats visar hur kombinationen av ekonomiska incitament, den snabba framväxten av nya affärsmodeller och utfasande av tidigare lösningar gör att utvecklingen går framåt med sådan fart att politiken och lagstiftaren har svårt att hinna med. Att ett ändamålsenligt dataskydd byggs in redan från början i den cyberfysiska infrastruktur som växer fram är därför mycket angeläget. När organisationer samverkar och delar data kan nya risker uppstå. Eftersom det är först i de aggregerade datamängderna som hela riskbilden framträder behöver arbetssätt utvecklas där organisationer gör konkreta risk- och konsekvensanalyser både tillsammans och var för sig. För att bygga en hållbar utveckling behöver organisationer redan från början bygga in dataskydd som standard och ta ansvar för säkerheten i produkterna, både vad gäller det enskilda bidraget och aggregerade konsekvenser av hur datan delas, förädlas och återanvänds i kommande led.