prop · H903203 · 2022-03-30 00:00:00 — 2016/17:213 Nationell strategi för samhällets informations- och cybersäkerhet. MSB har också en central roll i arbetet med implementeringen av NIS-direktivet i Sverige.69 Lagen ställer krav på leverantörer av samhällsviktiga tjänster inom sju utpekade sektorer samt, under vissa förutsättningar, leverantörer av digitala tjänster. De sju sektorerna för samhällsomfattande tjänster är energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. För var och en av sektorerna finns en utpekad tillsynsmyndighet. MSB:s uppdrag på området innefattar bland annat föreskriftsrätt och samordning för de olika sektorsspecifika tillsynsmyndigheterna i syfte att säkerställa en effektiv och likvärdig tillsyn. MSB är också mottagare av incidentrapporter. Vidare har regeringen beslutat att ett nationellt cybersäkerhetscentrum ska startas och gett FRA, Försvarsmakten, MSB och Säkerhetspolisen i uppdrag att tillsammans vidta förberedande åtgärder. Det nationella cybersäkerhetscentret ska stärka samlade förmåga att förebygga, upptäcka och hantera antagonistiska cyberhot mot och minska cybersårbarheterna. Det ska ge ett utvecklat och samordnat stöd om hur privat och offentlig sektor kan skydda sig mot cyberattacker. 3.5.2Integritetsskyddspolitiken i – dataskyddsreformen har implementerats I har integritetsskyddspolitiken främst fått tydliga uttryck genom införandet av dataskyddsförordningen och övriga regelverk på dataskyddsområdet. Bland annat har kompletterande nationell lagstiftning genomförts genom dataskyddslagen, men på området har också ett EU-direktiv rörande personuppgiftsbehandling i brottsbekämpande verksamhet implementerats genom införandet av brottsdatalagen. I samband med införandet av dataskyddsförordningen, dataskyddslagen och brottsdatalagen genomfördes också omfattande ändringar och anpassningar i nationell kompletterande sektorsspecifik lagstiftning.70 Detta innebär att regeringen har säkerställt att grundläggande regelverk finns på plats som har integritetsskyddsaspekterna i fokus. Vilka krav regelverket ställer på behandling av data beskrivs övergripande i kapitel 4 och något mer fördjupat i en bilaga till rapporten. Som en del i EUs strategi på cybersäkerhetsområdet antogs NIS-di- rektivet (and Directive) 2016. Det var ett av de första initiativen för att skapa en EU-övergripande reglering, i syfte att öka cybersäkerheten över hela unionen. Eftersom det är ett direktiv har det implementerats i resp. medlemsstat genom nationell lagstiftning, i genom lag (2018:1174) och förordning (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster. Det kan på sina håll fortfarande finnas bristande harmonisering mellan medlemsstaternas nationella kompletterande lagstiftning. Svenskt näringsliv pekar på detta som ett problem i sin skrift ”Vad är fel med GDPR?”. 3.5.3Regeringen har agerat på ett antal av förslag Inom ramen för integritetsskyddspolitiken har regeringen också agerat på ett antal förslag som tidigare lämnats. lämnade i sitt slutbetänkande 201771 totalt 36 förslag på åtgärder som kommittén ansåg kunde stärka skyddet för den personliga integriteten. För ungefär hälften av kommitténs förslag har någon form av åtgärder vidtagits, även om det inte nödvändigtvis är exakt i enlighet med kommitténs förslag. Flest åtgärder har vidtagits inom områdena informationssäkerhet 3.5.3.1 Förslag som har genomförts Flera av förslag om informationssäkerhet har genomförts, bland annat i delar som avser uppdrag till MSB. Bland annat föreslogs att MSB skulle få ett tillsynsuppdrag avseende statliga myndigheters informationssäkerhet, att MSB skulle få uppdraget att utveckla en styrmodell för informationssäkerhetsarbete i staten samt följa upp statliga myndigheters informationssäkerhetsarbete. Som redovisats ovan har MSB också fått ett antal regeringsuppdrag som rör informationssäkerhet. Vidare uppmanade att regeringen borde följa upp rekommendationer avseende kompetens och metod för utredning av it-brott. Regeringen har också gett i uppdrag att ta fram en långsiktig plan för att säkerställa att rätt kompetens finns att tillgå i verksamheten för att utreda itbrott.72 lämnade också flera förslag rörande e-förvaltning, varav merparten genomförts. Ett av förslagen handlade om att den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering – vilket kom att bli DIGG – i sin instruktion bör ha särskilt uttalat att myndigheten ska främja skyddet av den personliga integriteten. Av instruktionen för DIGG framgår att myndigheten ska bedriva arbetet med digitalisering av den offentliga förvaltningen på ett sätt som säkerställer skyddet av säkerhetskänslig verksamhet och informationssäkerhet i övrigt samt skyddet av den personliga integriteten.73 Även i flera av myndighetens regeringsuppdrag framhålls att särskilt fokus ska läggas på säkerhet, informationssäkerhet, sekretess och integritetsskydd. SOU 2017:52 Så stärker vi den personliga integriteten. Ju2020/00378/PO. Förordning (2018:1486) med Instruktion för Myndigheten för digital förvaltning, 8 §. I enlighet med kommitténs förslag har regeringen också utarbetat ett lagförslag om tystnadsplikt för leverantörer av molntjänster och andra personuppgiftsbiträden.74 har antagit regeringens förslag och lagändringen trädde ikraft den 1 januari 2021.75 Vidare har regeringen, i enlighet med vad som ursprungligen föreslogs av och tillstyrktes av , tillsatt en utredning för att utreda förutsättningarna för inrättandet av en statlig molntjänst som den offentliga förvaltningen ska kunna använda sig av (it-driftsutredningen som beskrivs ovan). 3.5.3.2 Förslag som inte har genomförts En rad av kommitténs förslag rörde uppförandekoder i olika branscher. Kommittén föreslog att regeringen bör initiera och stödja framtagandet av uppförandekoder inom konsumentområdet, skolan, hälso- och sjukvården, arbetslivet och e-förvaltningen. Mer specifikt lämnade kommittén förslag på regeringsuppdrag till bland annat , , och för att initiera och stödja arbetet med uppförandekoder i olika branscher. Några sådana regeringsuppdrag har inte lämnats. Generellt när det gäller uppförandekoder kan konstateras att endast fått in ett fåtal ansökningar om godkännande av uppförandekoder och att ingen avser de föreslagna branscherna eller sektorerna. Det kan också konstateras att främjandet av instrument för att säkerställa integritetsskyddet, bland annat uppförandekoder, är ett av fokusområdena för kommissionens fortsatta utvärdering av dataskyddsförordningens genomförande. Kommittén lämnade också ett antal branschspecifika förslag där åtgärder inte vidtagits. Förslagen handlade till exempel om att utreda en lagreglerad tystnadsplikt för försäkringsföretag och deras anställda avseende personuppgifter och reglering av ett teknikoberoende skydd för den enskildes integritet vid kreditupplysning. Vidare menade att regeringens digitala strategier bör kompletteras med uttryckliga mål som avser den personliga integriteten. Målet, ansåg kommittén, bör vara att inte bara ska vara bäst i världen på att utnyttja digitaliseringens möjligheter, utan också världsledande på att skydda den personliga integriteten. Något sådant mål har inte fastställts. konstaterade också att det finns ett behov av att i högre grad integrera arbetet med att skydda den personliga integriteten med det traditionella informationssäkerhetsarbetet. 2019:20:201 Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter. Lag (2020:914) om Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter. Ett förslag som inte heller genomförts rör inrättandet av ett kompetenscenter för frågor som rör anskaffning och användning av externa it-tjänster. tillhandahåller dock generellt stöd och vägledning för upphandling och avtalsförvaltning och MSB har tagit fram en vägledning för att upphandla informationssäkert.76 menade att ett dedikerat kompetenscenter skulle kunna bidra till att den offentliga förvaltningen blir bättre kravställare i upphandlingar, bland annat vad gäller kraven på inbyggt dataskydd och dataskydd som standard. 3.5.3.3Förslag som har rört tydligare reglering i lag Även när det rör lagreglering lämnade förslag som inte har genomförts. Ett inledande konstaterande från kommittén var till exempel att det är otillfredsställande att regeringsformens skydd av den personliga integriteten tillämpas på så olika sätt av utredningar, myndigheter och inom Regeringskansliet.77 Kommittén menade att mycket tid skulle kunna sparas i lagstiftningsprocessen om det framgick tydligare i utredningar vilka avvägningar rörande den personliga integriteten som ett lagstiftningsförslag aktualiserar. Mot denna bakgrund föreslog kommittén en ändring i kommittéförordningen (1998:1474) med innebörden att om förslagen i ett betänkande har betydelse för den personliga integriteten i de fall som avses i 2 kap. 6 § andra stycket regeringsformen, ska konsekvenserna anges i betänkandet. Något sådant krav har inte förts in i kommittéförordningen, även om det i vissa enskilda utredningsdirektiv specifikt anges att utredaren särskilt ska beskriva vilka konsekvenser de förslag som lämnas har för den personliga integriteten. Utredningen föreslog därtill att regeringen bör utvärdera, utveckla och vid behov uppdatera IMY:s vägledning för integritetsanalys, vilket inte genomförts. Ett arbete pågår dock inom med att uppdatera vägledningen och den avses publiceras . Inom vissa områden menade att det saknas viktig reglering om hur personuppgifter ska hanteras, vilket lämnar de personuppgiftsansvariga i ett svårt läge. Kommittén menade till exempel att det behövs en ny socialtjänstdatalag som reglerar den personuppgiftsbehandling som sker inom . En sådan utredning har också tillsatts.78 MSB 1177; Upphandla informationssäkert – en vägledning. 2 kap. 6 § andra stycket regeringsformen. SOU 2020:47 Hållbar socialtjänst – En ny socialtjänstlag (innehåller förslag till lag om socialtjänstdataregister). Kommittén konstaterade att digitalisering och personlig integritet är ett område som förtjänar större uppmärksamhet i forskningen, både för att höja kunskapsnivån men också för att bidra till att finna lösningar av tekniska och legala utmaningar. De föreslog därför att regeringen skulle ge i uppdrag att fördela anslag till tvärvetenskaplig forskning på temat, samt att ges ett uttalat uppdrag att främja projekt som involverar integritetsstärkande teknik och arbetssätt samt att upplysa om dataskyddsförordningen i sitt arbete. Någon direkt koppling till förslag kan inte spåras, men forskning inom digital utveckling och personlig integritet bedrivs vid flera lärosäten Exempel på pågående forskning ges i kapitel 7 i rapporten. fick också ett regeringsuppdrag att stödja offentliga aktörer i deras arbete med regel- och policyutveckling. ska tillhandahålla stöd till offentliga aktörer, däribland regelgivande myndigheter, för att stärka deras förmåga att proaktivt arbeta med regel- och policyutveckling. är också en av finansiärerna till AI , en paraplyfunktion som ska utgöra en samlande kraft för tillämpad AI för . En del av den nationella stödfunktionens uppdrag handlar om att stödja arbetet med rättsutveckling, där frågor som rör dataskyddsförordningen utgör en viktig del. För att klargöra vilket anslag, vilka resurser och vilka kompetenser som dataskyddsmyndigheten behöver , ansåg att regeringen bör ge Statskontoret i uppdrag att utföra en myndighetsanalys av . En sådan myndighetsanalys har utförts och presenterades av Statskontoret Andra förslag på tydligare reglering har inte åtgärdats. Det rör till exempel nya integritetsstärkande regler i patientdatalagen, reglering av medborgarprofilering, utredning av ett utökat sekretesskydd för uppgifter om elever i skolans it-system samt lagreglering av vissa integritetskänsliga spaningsmetoder. Dessa frågor har fortsatt hög aktualitet. Statskontorets rapport 2020:14 Myndighetsanalys av Datainspektionen. 4.Vilka krav ställer regelverket på skydd för personuppgifter? Skyddet för våra personuppgifter har förstärkts väsentligt genom dataskyddsreformen. I det här kapitlet ges en kort bakgrund till dataskyddsförordningen och en sammanfattning av de viktigaste förändringarna som lagstiftningen innebar. Vi gör också en kort genomgång av det dryga tiotal domar som kommit från EU- domstolen sedan dataskyddsförordningen trädde i kraft. En mer utförlig redovisning av de rättigheter och skyldigheter som regleras i dataskyddsförordningen återfinns i en bilaga till denna rapport. 4.1 Från direktiv till förordning Ett viktigt syfte med införandet av dataskyddsförordningen var att möta den snabba tekniska utvecklingen och ökande insamlingen och delningen av personuppgifter. Till skillnad från det tidigare dataskyddsdirektivet gäller dataskyddsförordningen direkt i medlemsstaterna och förordningen är primär rätt, vilket innebär att all nationell lagstiftning ska anpassas till förordningen. Ett första stort steg på integritetsskyddstrappan togs 1973 då datalagen infördes. var först ut med att inrätta en tillsynsmyndighet på området och den Nästa stora steg togs 1998 då dataskyddsdirektivet infördes, och genom direktivet togs det första gemensamma steget i syfte att åstadkomma en harmoniserad tillämpning inom EU.80 Direktivet infördes i svensk rätt genom personuppgiftslagen (1998:204). Mot bakgrund av bland annat den snabba tekniska utvecklingen och den omfattande insamlingen och delningen av personuppgifter bedömdes att det krävs en stark och mer sammanhängande ram för dataskyddet inom unionen, uppbackad av ett kraftfullt tillsynsarbete. Efter ett långvarigt förhandlingsarbete infördes dataskyddsförordningen . Förordningen gäller nu direkt som lag i samtliga EU:s medlemsländer.81 I anslutning till detta arbetades en stor mängd regelverk fram och anpassningar har som tidigare nämnts skett i stor omfattning av sektorsspecifika regelverk. Direktiv /95/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter antogs 1995 och implementerades i nationell rätt genom personuppgiftslagen 1998. Ett nytt direktiv på det brottsbekämpande området genomfördes för vidkommande per genom brottsdatalagen (2018:1177) och brottsdataförordningen (2018:1202). En av grunderna för att stärka enskildas rättigheter genom en förordning vara att det fortfarande fanns brister i hur länderna implementerat och tolkat direktivet, vilket lett till rättsosäkerhet och återstående betydande risker för enskilda individer, särskilt vid användning av internet. Genom förordningen avsågs en konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter säkerställas i hela unionen. Det som är nytt efter att dataskyddsförordningen infördes är att den är det primära regelverket när det gäller personuppgiftsbehandling. Personuppgiftslagen var subsidiär i förhållande till andra bestämmelser, det vill säga den gällde bara om det inte fanns andra bestämmelser på området.82 måste all personuppgiftsbehandling uppfylla kraven enligt dataskyddsförordningen. Nationell rätt ska ha anpassats till förordningen och utgör kompletterande lagstiftning.83 Det räcker således inte att uppfylla nationella föreskrifter och om det uppstår konflikt mellan regelverk går dataskyddsförordningen före. Dataskyddsförordningen innehåller 99 artiklar och 173 beaktandesatser. Detta utgör regelverket i sin helhet och ytterligare förarbeten saknas. I beaktandesatserna, där syftet bakom regleringen beskrivs, betonas att den tekniska utvecklingen och de nya möjligheter som finns att ta tillvara digitaliseringens möjligheter behöver balanseras med ett effektivt integritetsskydd. Av beaktandesatserna framgår vidare att ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras, att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs, att det finns likvärdiga befogenheter för övervakning, att det säkerställs att reglerna för skyddet av personuppgifter efterlevs samt att sanktionerna för överträdelser är likvärdiga i medlemsstaterna. I 2 § personuppgiftslagen angavs att om det i en annan lag eller i en förordning finns bestämmelser som avviker från denna lag, ska de bestämmelserna gälla. Ett område där detta möjligen inte uppfattas som tillräckligt klart är kamerabevakning – även om man har fått tillstånd till bevakning behöver bevakningen uppfylla regleringen i GDPR. Detta gäller också om verksamheten inte behöver tillstånd – dataskyddsförordningen gäller för bevakningen. 4.2Förstärkta rättigheter och skärpta skyldigheter Genom dataskyddsförordningen har enskildas rättigheter stärkts. innebär förordningen på en rad områden skärpta skyldigheter för alla verksamheter som hanterar personuppgifter. Skyldigheterna för verksamheter som behandlar personuppgifter utgår från förordningens sex grundläggande principer och att det krävs en rättslig grund för att få behandla personuppgifter. Är inte de grundläggande principerna beaktade eller om rättslig grund saknas kan man utgå från att personuppgiftsbehandlingen inte är laglig. Centralt för att skapa den tillit som behövs för att utveckla den digitala ekonomin över hela den inre marknaden är att enskilda individer har kontroll över sina egna personuppgifter. Dataskyddsförordningen innebär på en rad områden stärkta rättigheter för enskilda. Det handlar bland annat om rätten till (klar och tydlig) information, rätten att få personuppgifter rättade, raderade eller överförda, rätten att få göra invändningar (till exempel om uppgifter används för direktmarknadsföring) och rätten att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling. Den enskildes rättigheter är långtgående och förutsätter att den som hanterar personuppgifter har ordning och reda och kan härleda personuppgifter som kan kopplas till en viss individ samt också rutiner och processer för att ge enskilda den insyn och kontroll över sina uppgifter de har rätt till. Enskildas rättigheter balanseras med utökade och omfattande skyldigheter för den som behandlar personuppgifter, oftast personuppgiftsansvariga men även biträden till dessa har fått uttalade skyldigheter. Kraven på en personuppgiftsansvarig är bland annat att man vid behandling av personuppgifter följer förordningens sex grundläggande principer,84 som rör •Laglighet, korrekthet och öppenhet – uppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade •Ändamålsbegränsning – uppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (den så kallade finalitetsprincipen) •Uppgiftsminimering – uppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas •Korrekthet – uppgifter ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål •Lagringsminimering – uppgifter får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. •Integritet och konfidentialitet – uppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet – inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse – med användning av lämpliga tekniska eller organisatoriska åtgärder. Därutöver anges principen om ansvarsskyldighet – den personuppgiftsansvarige ska ansvara för och kunna visa att de grundläggande principerna efterlevs. Är inte de grundläggande principerna beaktade eller om rättslig grund saknas kan man utgå från att man inte uppfyller de närmare förskrifterna i förordningen och att personuppgiftsbehandlingen därmed inte är laglig.85 Följs de grundläggande principerna har man också till stora delar säkerställt att enskildas rättigheter tillgodoses. Artikel 5.1 (a–f) dataskyddsförordningen. Rättsliga grunder regleras i artikel 6 och, för känsliga personuppgifter, dessutom i artikel 9 i dataskyddsförordningen. För att en personuppgiftsbehandling ska vara laglig krävs att den ansvariga verksamheten säkerställt att det finns en rättslig grund för att behandla uppgifterna. Rättslig grund kan utgöras av (ett frivilligt och uttryckligt) samtycke. Andra rättsliga grunder kan handla om att behandlingen är nödvändig för att verksamheten ska kunna uppfylla en rättslig förpliktelse, ett avtal, att skydda ett (för den enskilde) vitalt intresse eller utföra en uppgift av allmänt intresse. En rättslig grund kan också vara att verksamheten gjort en intresseavvägning – där verksamhetens intresse av att få behandla uppgifterna bedömts väga tyngre än den enskildes intresse. Att säkerställa att de grundläggande principerna uppfylls och att det finns en rättslig grund förutsätter i grunden ett kontinuerligt och systematiskt arbete med att säkerställa att man har kontroll över vilka uppgifter som hanteras, varför, på vilket sätt och av vem. Verksamheter som hanterar personuppgifter är också skyldiga att vidta säkerhetsåtgärder och genomföra konsekvensbedömningar för att bedöma de risker som uppstår genom att personuppgifter behandlas. Om behandlingen innebär en hög risk för enskildas integritet ska förhandssamråd begäras med tillsynsmyndigheten. Myndigheten kan då antingen lämna råd eller förbjuda behandlingen. För att säkerställa ett kraftfullt tillsynsarbete har tillsynsmyndigheterna fått utökade och mer långtgående korrigerande befogenheter där sanktionsavgifter numera är huvudregel vid överträdelse av förordningen. Sanktionsavgifterna är höga och kan vid överträdelser som bedöms särskilt allvarliga för privata aktörer uppgå till eller av företagets globala årsomsättning, beroende på vilket belopp som är högst.86 För myndigheter kan sanktionsavgiften enligt svensk rätt som mest uppgå till 10 miljoner kronor.87 I syfte att säkerställa ett enhetligt och harmoniserat genomförande av dataskyddsförordningen har som beskrevs i kapitel 3 inrättats ett särskilt organ inom EU, Europeiska dataskyddsstyrelsen (EDPB), med ett självständigt mandat som sträcker sig långt.88 Artikel 58.2 (f), artikel 83 dataskyddsförordningen. 6 kap. 2 § dataskyddslagen. Artikel 69–76 dataskyddsförordningen, se vidare avsnitt 3.2.1–2. 4.3EU-domstolens tolkning av förordningen Sedan GDPR trädde i kraft har EU- domstolen meddelat ett tiotal domar som rör integritetsskydd. Genomgående kan konstateras att domstolen ofta gjort en strikt tolkning av dataskyddsreglerna. Ett av de mer uppmärksammade målen rör det så kallade Schrems II-ärendet där domstolen klargör vad som gäller vid överföring till tredje land. slog i ärendet fast att Privacy mellan och inte ger ett tillräckligt skydd för personuppgifter när dessa förs över till , vilket i praktiken innebär att många dataöverföringar mellan och blev olagliga. Andra avgöranden från behandlar bland annat hur och när samtycke kan användas som rättslig grund för att vara giltigt, hur det så kallade privatundantaget ska tolkas, hur personuppgiftsansvaret ska tolkas när företag eller andra organisationer driver konton på Facebook eller andra sociala plattformar och vilka skyldigheter sökmotorer har när det gäller rätten att få information borttagen. I detta avsnitt ges en kortfattad beskrivning av den praxis som utvecklats av när det gäller integritetsskydds- och dataskyddsfrågor. Domstolen har meddelat ett tiotal domar på området. Sammanställningen ger en bild av hur domstolen ser på integritetsskyddet.