prop · H903203 · 2022-03-30 00:00:00 — Bland forskarvärldens skarpaste kritiker av dagens omfattande handel med data har begreppets ”övervakningsekonomi” använts för att beskriva hur hela logiken i marknadsekonomin är under omstöpning.21 Tesen kan sammanfattas i att den tidigare kapitalismen var industriell, och drevs framåt primärt med naturresurser. Den gick fram med sådan fart att politiken och lagstiftningen inte hann med, och i stora delar av världen har råvaror utvunnits på ett ohållbart sätt. I den nya digitala kapitalismen upprepar sig mönstret. De stora möjligheterna att tjäna pengar på data driver företag till ett snabbt och målmedvetet utvecklingstempo där politiken har svårt att hinna med. I handeln med data skördas och analyseras nu vårt beteende i detalj, för att i nästa steg kunna förutse och forma vårt beteende. Uttrycket att om en tjänst på internet är gratis är det sannolikt du som är produkten hörs ibland för att beskriva de stora digitala plattformarnas och sociala mediernas affärsmodell. Vissa kritiska röster inom akademin går ännu längre och menar att vi inte är produkten – vi är istället råvaran som utvinns lika hårdhänt som naturresurser gjort tidigare. För en hållbar digitalisering, där de långsiktiga utmaningarna inte blir lika alarmerande som dagens miljö- och klimatutmaningar, efterlyses bland annat skyddade sfärer där teknologin begränsas samt åtgärder för att begränsa de stora techföretagens makt. Datainspektionens rapport 2019:2 Nationell integritetsrapport . Zuboff, , The age of surveillance capitalism. The fight for a human future at the new frontier of power, 2019. 2.3.4Personlig integritet – en fråga om individers säkerhet När skyddet för digitala personuppgifter fallerar kan konsekvenserna i värsta fall bli att information hamnar hos olika hotaktörer. Konkreta risker för den enskilde individen kan då handla om till exempel olika former av bedrägerier eller andra brott. När det gäller risken att utsättas för brott avgör sammanhanget om en viss information är känslig eller inte. För många är det sannolikt djupt olustigt om kriminella aktörer får tillgång till uppgifter om en, även om uppgifterna i andra sammanhang uppfattas som förhållandevis harmlösa, som till exempel uppgifter om ålder eller adressuppgifter. Ett exempel kan tas i det stora antal klagomål som inkommit till om så kallade personsöktjänster. Bland klagomålen finns ett antal medborgare som upplever oro för att det är så enkelt att söka fram uppgift om till exempel äldre personer som bor ensamma i ett visst område och som kan utgöra måltavla för olika brottsupplägg.22 När allt fler föremål och delar av samhället kopplas upp mot internet öppnas upp även för mer fysiska hot mot individers liv, hälsa och egendom. Det kan handla om lokaliseringsdata och kontroll av var personer befinner sig, som möjliggör inbrott och andra brott mot den personliga sfären. Säkerhetsforskare har också demonstrerat hur bristande säkerhet i uppkopplade enheter öppnar upp för fysiska attacker mot människor, utfört på distans, då de bland annat har kunnat ta kontroll över självkörande bilar, men även hacka sig in i medicinisk utrustning som pacemakers och insulinpumpar.23 2.3.4.1Informationssäkerhet och dataskydd – överlappar men skiljer sig också åt har informationssäkerhet fått allt större fokus i och kraven har skärpts på verksamheter att vidta åtgärder för att fortlöpande säkerställa att •informationen alltid finns när vi behöver den (tillgänglighet) •går att lita på att den är korrekt och inte manipulerad eller förstörd (riktighet) samt •endast behöriga personer får ta del av den (konfidentialitet). Datainspektionen rapport 2020:1 Klagomål mot personsöktjänster med frivilligt utgivningsbevis –. ; A connected world will be a playground for hackers, 2019 connected-world-will-be-a-playground-for-hackers. Informationssäkerhet används ofta som ett övergripande begrepp och innefattar skydd av all information och i både fysisk som digital form.24 Dataskydd fokuserar på just personuppgifter och dataskyddsförordningen innehåller särskilda bestämmelser om säkerhetsåtgärder för skyddet av personuppgifter som i stora delar avser åtgärder med bäring på informationssäkerhet. Verksamheter är skyldiga att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.25 som överlappningarna är stora mellan dataskydd och generellt informationssäkerhetsarbete finns en grundläggande skillnad, som handlar om ur vilket perspektiv riskbedömningar sker. Utgångspunkten i dataskyddsförordningen är risker för kränkningar av enskilda individers fri- och rättigheter. Mer konkret kan det resultera i att individer utsätts för olika typer av bedrägerier, finansiell förlust, id-kapning eller diskriminering. I ett systematiskt informationssäkerhetsarbete bedöms risker ur ett bredare perspektiv. Det handlar om att analysera samtliga tänkbara hot och bedöma hur sannolika de är och vad konsekvenserna blir. Det kan, även här, handla om risker för enskilda medborgare, men här tillkommer också risker för verksamheten. 2.3.5Personlig integritet – en del av samhällets säkerhet Som beskrivits ovan är personuppgifter en typ av information som regleras särskilt i dataskyddsreglerna. Andra uppgifter omfattas av informationssäkerhetsregelverket då information i olika verksamheter ska klassas ur ett informationssäkerhetsperspektiv. Mer känsliga uppgifter kräver en högre skyddsnivå och säkrare hantering. Det finns även särskild reglering kring information som är sekretessbelagd med hänsyn till säkerhet genom säkerhetsskyddsregleringen.26 Säkerhetsskydd handlar om att skydda information och verksamheter som är av betydelse för säkerhet mot spioneri, sabotage, terroristbrott och vissa andra hot. Myndigheten för samhällsskydd och beredskap, MSB, har i uppdrag att samordna och stödja samhällets arbete med informationssäkerhet. Artikel 5.1 f, 24 och 32 dataskyddsförordningen. Säkerhetspolisen är tillsynsmyndighet på området. Det förändrade säkerhetspolitiska läget i omvärld i kombination med teknikutvecklingen har medfört ett ökat hot som riskerar att få allvarliga konsekvenser för samhällets funktionalitet. Säkerhetspolisen, som är tillsynsmyndighet för de flesta myndigheter när det gäller säkerhetsskyddslagen, har vid upprepade tillfällen beskrivit hur främmande makt i takt med teknikutvecklingen använder allt fler metoder för att inhämta information. Inhämtningen av känsliga uppgifter sker och riktas mot såväl våra grundläggande individuella rättigheter, vårt ekonomiska välstånd, vårt politiska oberoende som vår territoriella suveränitet. Syftet är bland annat att kunna destabilisera som nation – om eller när det behövs. Detta innebär ett nytt, fördjupat säkerhetshot. Säkerhetspolisen understryker att teknikutvecklingen inom till exempel 5G och utvecklingen av Internet of Things, IoT, kommer att påverka säkerhet . ikombination med fortsatt stora brister i it-säkerheten bedöms av Säkerhetspolisen innebära att riskerna för störningar i samhällsviktiga verksamheter ökar.27 fick 2019 en ny säkerhetsskyddslag i syfte att öka gemensamma förmåga att stå emot angrepp.28 Den som bedriver säkerhetskänslig verksamhet ska genomföra en säkerhetsskyddsanalys och dokumentera den. Viktiga frågor i säkerhetsskyddsanalysen är om verksamheten hanterar säkerhetsskyddsklassificerade uppgifter, vilka antagonistiska hot som finns mot verksamheten och vilka skyddsåtgärder som är nödvändiga. inom områdena informationssäkerhet, fysisk säkerhet samt personsäkerhet. Såväl inom och inom EU används också allt oftare begreppet cybersäkerhet. Antagonistiska hot som riktar sig mot digitala system och digital information benämns cyberhot, och arbetet med skyddsåtgärder som cybersäkerhet. I EU:s cybersäkerhetsakt definieras cybersäkerhet som ”all verksamhet som är nödvändig för att skydda nätverks- och informationssystem, användare av dessa system och andra berörda personer mot cyberhot”. Definitionen beaktar med andra ord den antagonistiska faktorn.29 Sammanfattningsvis finns tydliga överlappningar mellan dataskydd, informations- och cybersäkerhet samt säkerhetsskydd – men också skillnader i vilken utgångspunkt som tas för arbetet. Arbetet med dataskydd fokuserar på personuppgifter och risker för enskilda, medan informationssäkerhet innefattar samtliga typer av information, hot och risker. Arbetet med säkerhetsskydd tar istället sikte på det som ur ett samhällsperspektiv är allra mest skyddsvärt, till exempel verksamheter inom totalförsvaret, rättsväsendet, energi- eller vattenförsörjningen, telekommunikationer eller transportsektorn. I cybersäkerhetsbegreppet ligger fokus på antagonistiska hot. Gemensamt för alla områdena är skyddet för information som genom den snabba digitaliseringen och teknikutvecklingen blir allt mer angeläget. Förenklat kan förhållandet mellan informationssäkerhet, dataskydd, cybersäkerhet och säkerhetsskydd beskrivas som i tabellen nedan – där informationssäkerhet är den övergripande benämningen för skydd av all information. Förhållandet mellan informationssäkerhet, dataskydd, cybersäkerhet och säkerhetsskydd. Utgångspunkt i risk- och konsekvensbedömningar Alla typer av risker som Hot, sårbarheter och Säkerhetsskyddslag (2018:585), säkerhetsskyddsförordning SOU 2020:58 EU:s cybersäkerhetsakt – kompletterande nationella (2018:658). bestämmelser om cybersäkerhetscertifiering. Det är centralt att inte se arbetet med dataskydd, informations- och cybersäkerhet och – i förekommande fall – säkerhetsskydd som isolerade företeelser, utan som länkar i en större kedja. De olika perspektiven kräver i stor utsträckning samma typ av kontinuerligt och systematiskt arbete, där risker (ur alla olika perspektiv) analyseras löpande och ligger till grund för att utforma, genomföra och följa upp åtgärder. som strävar efter att integrera de olika perspektiven i ett och samma ledningssystem har sannolikt större förutsättningar att nå kvalitet och ett effektivt skydd för uppgifterna och också för verksamheten. En av de viktigaste förändringarna i den nya säkerhetsskyddslagen är att den omfattar fler verksamheter än tidigare lagstiftning på området och att det i lagstiftningen förtydligats att det gäller både privata och offentliga verksamheter. Att arbetet med olika former av säkerhet gällande information är sammanlänkande innebär att de också ger stöd åt varandra. Det innebär att dataskyddsförordningen, som gäller alla verksamheter som hanterar personuppgifter, skapar en grund för en stark informationssäkerhet i . Det påverkar i sin tur även cybersäkerheten och förmåga att stå emot riktade angrepp. är ett skydd mot angrepp på samhället en viktig förutsättning för att det offentliga ska kunna skydda den enskildes rätt till privatliv. Ur ett riskperspektiv är det i vissa fall svårt att dra skarpa gränser mellan vad som är en risk för enskilda individer och vad som utgör risker för säkerhet. Ett exempel kan tas i den omfattande personuppgiftsincident som under 2018 uppdagades hos hotellkedjan . hade en antagonistisk hotaktör haft olovlig åtkomst till namn, kontaktuppgifter, födelsedatum, passnummer och andra personuppgifter i hotellets databas. Totalt drabbade intrånget, som enligt internationell media kunde spåras till kinesiska aktörer, cirka 500 miljoner medborgare.30 Överträdelsen resulterade i en av de största sanktionsavgifterna från någon dataskyddsmyndighet i när brittiska ICO beslutade om en sanktionsavgift på . Ett annat välkänt exempel är företaget , där data om över 50 miljoner användare som utvunnits i ett personlighetstest på Facebook, skapat psykologiska profiler som använts i den amerikanska presidentvalskampanjen. Andra exempel från på hur dataskyddsfrågor och säkerhetsskydd överlappar kan tas i avslöjandet om hur data från en träningsapp kan användas för att lokalisera såväl hemliga militärbaser som enskilda soldater. Den positioneringsdata som samlats in när användare laddat upp sina löpturer i träningsappen Strava visade sig vara så detaljerad att information om både militärt känsliga platser och persondata riskerade att röjas. Ytterligare ett exempel rör it-attacken mot det finska vårdbolaget , där tusentals patientjournaler läckt ut och patienter vars uppgifter läckt har utpressats för att stoppa spridningen av de privata uppgifterna på nätet. Om en sådan attack skulle omfatta även personer i säkerhetsklassade befattningar skulle utpressning kunna användas av främmande makt för att till exempel förmå individer att delta i spionage. Händelserna ovan omfattas primärt av lagstiftningen på dataskyddsområdet, men får konsekvenser även ur ett säkerhetsskyddsperspektiv. Stora mängder uppgifter om andra länders medborgare är ett reellt geopolitiskt maktmedel som kan underlätta eventuella framtida angrepp. , , listade i sin riskanalys cyberhotet som en av de allra allvarligaste globala riskerna. WEF underströk också att morgondagens geopolitik i stor utsträckning kommer att avgöras av hur olika stater väljer att använda den data de sitter på om sina egna och andra staters medborgare.31 ; Breach Is Traced to Chinese Hackers as U.S. Readies Crackdown on , . com/2018/12/11/us/politics/trump-china-trade.html 3.Integritetsskyddspolitiken i EU och Både på EU-nivå och i svensk politik finns en ambitiös digitaliseringspolitik med ett uttalat mål om att vara bäst i världen på att ta tillvara digitaliseringens möjligheter. I det här kapitlet beskriver vi ett antal viktiga digitaliseringspolitiska initiativ som tagits och som påverkar den personliga integriteten. Vi konstaterar att det saknas en uttalad politik och en allmänt vedertagen definition av det politikområde som rör den personliga integriteten, men väljer att beskriva politikområdet under rubriken ”integritetsskyddspolitik” och beskriver ett antal åtgärder som vidtagits . Den viktigaste förändringen handlar om att dataskyddsreformen genomförts. Digitalisering är ett av EU:s högst prioriterade områden. presenterade tre strategiska dokument som anger inriktningen för EU:s digitala framtid: en övergripande digitaliseringsstrategi, en datastrategi och en vitbok om AI. listar ett antal konkreta åtgärder som tillsammans ska skapa värde för medborgare, för företag och för samhället i stort. Föreslagna åtgärder med bäring på integritetsskyddsfrågorna är bland annat ett utvecklat regelverk kring internetplattformars ansvar samt strategier för kvantdatorer och blockkedjeteknik. Datastrategin innehåller åtgärder för att utveckla ett rättsligt ramverk kring dataanvändning, ökade investeringar för att stärka kapaciteten att använda data, åtgärder för att stärka individers möjlighet att kontrollera den egna datan samt åtgärder för att möjliggöra gemensamma europeiska datautrymmen. om AI anger målsättningen att EU ska bli världsledande på AI-teknik, som medborgarnas rättigheter säkras. Offensiva satsningar och kraftigt ökade investeringar ska kombineras med ett intensifierat arbete för att tydliggöra ett etiskt och rättsligt ramverk. Som ett första steg i att utveckla det rättsliga ramverket har ett antal etiska principer för användning av AI utarbetats. Framtida regelverk för AI bör enligt kommissionen ha en riskbaserad utgångspunkt, där både bransch och typ av AI-tillämpning beaktas. Kommissionens nuvarande ordförande von der Leyen har sedan hon tillträdde framhållit klimatomställning och digitalisering som kommissionens två prioriterade kärnområden . presenterade kommissionen ett större paket med inriktning för framtidens digitala . Planen för att ta EU in innehåller tre strategiska dokument; en övergripande digitaliseringsstrategi32, en datastrategi33 och en vitbok om AI34. Dessa innehåller förslag på aktiviteter och åtgärder som kommer genomsyra och prägla initiativ från kommissionen och sannolikt också kommer att ställa krav på anpassningar i medlemsstaternas lagstiftning eller på en höjd ambitionsnivå inom respektive område. 3.1.1Att forma EU:s digitala framtid - Kommissionens övergripande digitaliseringsstrategi bär rubriken digitala framtid och presenterar insatser inom tre grundpelare som kommissionen kommer att fokusera på . Det handlar om teknik som skapar genuint värde för medborgare och samhälle, åtgärder för en rättvis och konkurrenskraftig ekonomi och åtgärder för ett öppet och demokratiskt samhälle.35 Digital suveränitet är ett centralt begrepp i digitaliseringsstrategin, inte minst i bemärkelsen att minska beroende av amerikanska och kinesiska tech-företag. Kommissionen understryker att EU behöver säkerställa motståndskraften i datainfrastruktur, nätverk och kommunikation. Det kräver enligt kommissionen att skapar rätt förutsättningar för att utveckla och sprida sina egna nyckelförmågor, och därmed minska beroendet av andra delar av världen för de viktigaste teknikområdena. Kommissionen pekar här på följande centrala områden. Teknik som skapar värde för människor – Fokus ligger på utveckling, etablering och användning av teknik som gör en verklig skillnad i människors dagliga liv och bidrar till en stark och konkurrenskraftig ekonomi som behärskar och formar teknik på ett sätt som respekterar europeiska värden. Centrala åtgärder är bland annat en vitbok om AI (se nedan), en reviderad förordning om superdatorer, en uppdaterad cybersäkerhetsstrategi, europeiska strategier för kvantdatorer och blockkedjeteknik, en översyn av nätverks- och informationssystemsdirektivet () samt en uppdaterad handlingsplan för 5G och 6G. I paketet finns också en handlingsplan för digital utbildning och en förstärkt kompetensagenda för digitala färdigheter i hela samhället. COM (2020) 67 Meddelande från kommissionen till , rådet, Europeiska ekonomiska och sociala kommittén samt om Att forma EU:s digitala framtid. COM (2020) 66 Meddelande från kommissionen till , rådet, Europeiska ekonomiska och sociala kommittén samt om En EU-strategi för data. COM (2020) 65 om artificiell intelligens - en EU-strategi för spetskompetens och förtroende. faktapromemoria 2019/2020 FPM 23; Digital strategi, och datastrategi En rättvis och konkurrenskraftig ekonomi – Företag i alla storlekar och i alla sektorer ska kunna konkurrera på lika villkor och utveckla, marknadsföra och använda digital teknik i en omfattning som förbättrar deras produktivitet och globala konkurrenskraft och där konsumenterna kan vara säkra på att deras rättigheter respekteras. Centrala åtgärder utgörs bland annat av den europeiska datastrategin – samt ett meddelande om ett rättsligt ramverk för styrning av data samt en eventuell rättsakt om data. Paketet innehåller aktiviteter inom konsument- och konkurrensområdena, bland annat en utredning om konkurrensfrämjande förhandsregler för stora plattformar, som en del av lagpaketet Ett öppet, demokratiskt och hållbart samhälle – Fokus ligger på en pålitlig miljö för medborgarna som ska kunna dra nytta av data de tillhandahåller både online och offline, en europeisk metod för digital transformation som stärker demokratiska värderingar, respekterar grundläggande rättigheter och bidrar till en hållbar, klimatneutral och resurseffektiv ekonomi. Centrala åtgärder är bland annat nya och reviderade regler för internetplattformars ansvar, vilket inkluderar en översyn av e-handelsdirektivet, inom ramen för lagpaketet Act och en översyn av förordningen om elektronisk identifiering med mera. Paketet omfattar också främjande av system för utbyte av medicinska journaler i hela EU. Sammanfattningsvis kan konstateras att kommissionen har höga ambitioner på digitaliseringsområdet och att ett antal konkreta aktiviteter planeras . Aktiviteter med direkt eller indirekt bäring på integritets- och dataskyddsfrågorna samt utvecklingen av ny teknik är bland annat datastrategin, vitboken om AI och förslaget till rättsakt om data som beskrivs nedan. Därtill kommer initiativet om nya och reviderade regler för internetplattformars ansvar och strategier för kvantdatorer och blockchain. Konkreta åtgärder för att höja säkerheten och skydda enskilda individers fri- och rättigheter presenterades också i den uppdaterade cybersäkerhetsstrategi som kommissionen lade Det kan också noteras att ett särskilt fokus för kommissionen är att höja den digitala kompetensen hos medborgare, bland annat genom en handlingsplan för digital utbildning och en förstärkt kompetensagenda för digitala färdigheter. Datastrategin beskriver behovet av samlade europeiska insatser för att på ett mer effektivt sätt nyttja data som strategisk resurs. Syftet är att göra EU till den mest attraktiva, säkra, dynamiska och snabbrörliga datadrivna ekonomin i världen, och därmed förbättra beslutsfattande och livskvalitet för samtliga medborgare. Tillgång till samt kontroll över relevanta data, baserat på gemensamma regelverk och standarder, bedöms vara av strategisk betydelse för utvecklingen av digital innovation, särskilt AI, inom EU. Åtgärderna i datastrategin bygger på fyra områden: Ett rättsligt ramverk för datatillgång och användning – Kommissionens vision går bland annat ut på att till 2030 skapa gemensamma europeiska datautrymmen som ska kunna stödja utvecklingen inom samhällssektorer som tillverkning, hälsa och mobilitet. I datastrategin aviserade kommissionen att de hade för avsikt att prioritera ett rättsligt ramverk för styrning av gemensamma europeiska datautrymmen. presenterade kommissionen också ett förslag till förordning om dataförvaltning (eng. data governance).36 Syftet är att ange riktlinjer för utbyte och användning av data, samt prioritera gemensamma övergripande krav och standarder, till exempel om hur forskningsdata kan utbytas i linje med dataskyddsförordningen. Även frågor för att göra det lättare för individer att låta deras data användas för publik nytta i enlighet med dataskyddsförordningen ingår. Inom ramen för en datarättsakt förutser kommissionen också att utveckla rättsliga ramverk som ytterligare ska underlätta delning av data inom näringslivet samt mellan näringslivet och offentlig förvaltning. Investeringar för att stärka kapacitet för bearbetning och användning data – –2027 kommer kommissionen att investera för att främja utvecklingen av infrastruktur, verktyg och arkitektur för att dela data och använda Investeringarna kommer bland annat att dedikeras till edge computing, högpresterande datorer och kvantberäkning, cybersäkerhet, lågeffektprocessorer och 6G-nätverk. Projektet ska främja den gradvisa balanseringen mellan centraliserad datainfrastruktur i molnet och distribuerad och smart databehandling genom decentraliserad AI (edge computing). COM(2020) 767 Förslag till OCH RÅDETS FÖRORDNING om dataförvaltning (Dataförvaltningsakten) Kommissionen betonar också vikten av EU-baserade molntjänstleverantörer. har kommissionen målsättningen att ta fram ett ramverk för de olika reglerna (inklusive självreglering) för molntjänster i form av en ”molnregelbok”. kommer att omfatta befintliga molnkoder för uppförande och certifiering av säkerhet, energieffektivitet, servicekvalitet, dataskydd och dataportabilitet. Stärka individers möjlighet att kontrollera egen data och den digitala kompetensen – genom att förstärka rätten till dataportabilitet enligt dataskyddsförordningen kan individer få mer kontroll över vem som kan få åtkomst till och använda maskingenererade data. Det kan enligt kommissionen handla till exempel om att införa strängare krav på gränssnitt för realtidsdataåtkomst och att göra maskinläsbara format obligatoriskt för data från uppkopplade enheter i hemmet. Dessutom menar kommissionen att regler för leverantörer av personliga appar och nya dataförmedlare kan övervägas för att garantera att de förmedlar neutral data. Vidare avser kommissionen att satsa på omfattande utbildningar i ny teknik för att minska behovet av it-specialister, men även basutbildning för att höja medborgarnas digitala kompetens.