prop · H903203 · 2022-03-30 00:00:00 — ”Molnifiering” av lagring innebär att personuppgifter och annan data flyttas över till molnlösningar med stor lagringskapacitet som gör det möjligt för användarna att enkelt dela data mellan flera enheter. Inom molnlösningar sker också teknisk utveckling för att passa användarnas olika behov av säkerhet, kontroll och kapacitet. Ett fåtal globala aktörer kontrollerar en stor andel av marknaden. Molntjänster är förenklat ett stort antal sammankopplade servrar som gentemot användarna fungerar som en enhet. Användarna vet att de lagrar sina data i ett ”moln”, men de vet sällan var i molnet eller på vilka servrar de finns, och behöver för funktionen vanligen inte veta det. Filerna kan flyttas om i molnet utan att det påverkar användarens tillgång till dem. Man kan säga att användaren bara behöver veta resursens namn, inte dess adress. Servrarna i ett moln kan vara spridda över ett större område, kanske i flera länder. Moln av servrar används för att sköta internetbaserade program och för att lagra stora datamängder. Tekniken ger möjlighet att tilldela resurskrävande program den kapacitet som behövs vid varje tidpunkt.224 ”Multi-cloud” innebär att användaren utnyttjar flera parallella molnlösningar för olika datamängder, användningsområden och behov. ”Hybrid cloud” innebär molnlösningar där användaren blandar molnteknik som denne själv kontrollerar med molnteknik som kontrolleras av någon annan.225 En av drivkrafterna inom området är den växande insamlingen av data i kapacitetskrävande format, som exempelvis rörlig bild och ljud, samt användarnas önskemål att komma åt och kunna bearbeta all insamlad data överallt och närsomhelst. Molnifieringen av lagring har också en koppling till utvecklingen inom digitalt samarbete, som omfattar verktyg, system och plattformar som syftar till att underlätta samarbeten, både lokalt och på distans. Digitala funktioner som delade dokumentarkiv och videokonferenser har fått ett stort genomslag i samband med att Covid19-pandemin ökat hemarbetet väsentligt. 225. de-to-Cloud-Management-Platforms.pdf. Molnifieringen väcker integritetsrelaterade frågeställningar kring bland annat ansvarsfördelning och vem som har tillgång till lagrade personuppgifter, i de fall uppgifterna lagras i molntjänst som kontrolleras av en tredje part. Offentlig sektor har särskilda utmaningar om sekretessbelagt material behandlas av en aktör som inte omfattas av sekretess. Uppgifterna får då ett svagare skydd om den som driftar tjänsten kan ta del av uppgifterna i klartext.226 En utmaning med bearbetning eller lagring i molntjänster är att dessa tjänster inte sällan är globala. För att få överföra personuppgifter till länder utanför EU krävs att det är tillåtet enligt dataskyddsförordningens regler om tredjelandsöverföring. Det är en utmaning för den personuppgiftsansvarige att i användning av molntjänster ha kontroll både på om personuppgifter överförs till tredje land och om det i så fall är tillåtet. för molntjänster har, i vart fall , dominerats av amerikanska aktörer, vilket kan medföra att lagringen efter avgörande i det så kallade Schrems II-ärendet är laglig.227 Domstolen slog i ärendet fast att kommissionens så kallade Privacy Shield-beslut om överföring av personuppgifter från EU till är ogiltigt efter som det inte ger ett tillräckligt skydd för personuppgifter när dessa förs över till . Privacy Shield är en mekanism för självcertifiering som finns i . Den innebär att företag i kan anmäla sig till det amerikanska och meddela att de uppfyller de krav som ställs i Privacy Shield. Det har varit tillåtet för personuppgiftsansvariga i EU att överföra personuppgifter till amerikanska företag som har anslutit sig till Privacy Shield. ogiltigförklarandet av Privacy Shield innebär att det är tillåtet för personuppgiftsansvariga i EU att med Privacy Shield som grund överföra personuppgifter till mottagare i . 5.5.2Edge storage och nya lagringsmedia Precis som behandling av data kan ske direkt i olika lokala enheter, genom edge computing, kan även lagring av data ske lokalt. Istället för att lagra all data centralt i nätverket kan data lagras lokal i till exempel en IoT-enhet. Sådan lagring benämns vanligen edge storage. Nya lagringsmedia och ökad prestanda på lagringstekniken möjliggör snabbare, flexiblare och säkrare lagring. Utveckling sker bland annat inom flashminnen228 och fiberteknik, samt anpassning av lagringslösningar för att passa AI-tillämpningar som kräver mycket stor kapacitet.229 Utvecklingen påverkar bland annat var personuppgifter lagras och förutsättningarna att spåra och förstöra lagrad data, vilket innebär att den även kan påverka den personliga integriteten. 5.5.2.1 Nyttor med nya lagringslösningar I detta avsnitt ges kortfattade exempel på konkreta användningsområden för molnlagring och edge storage inom olika sektorer, som ger en bild över olika tillämpningsområden och potentialen med utvecklingen inom olika sektorer. Bank, finans och försäkring – avancerade molnlösningar gör det möjligt att dra nytta av den stora mängd personuppgifter som företagen samlar in och att snabbt utveckla och implementera nya tjänster som kan användas både av företagens egen personal och i kundernas stationära och mobila enheter.230 Tillverkande industri – molnlösningar används för att hantera de stora datamängder från flera olika datakällor som krävs för att bland annat automatisera produktionsprocesser.231 Ny lagringsteknik används också för industriella AI-applikationer i krävande miljöer, där tekniken måste fungera tillförlitligt trots föroreningar, stora temperaturskillnader och vibrationer. Försök att komma tillrätta med detta behandlas i den tidigare nämnda propositionen, prop. 2019/20:201 om tystnadsplikt vid utkontraktering. Dom av , Facebook och Schrems, C-311/18, EU:C:2020:559. Ett flashminne är en typ av minne som bevarar lagrade data när strömtillförseln stängs av. Flashminne används som alternativ till en hårddisk i till exempel musikspelare, bärbara datorer, mobiltelefoner, USB-minnen och annan bärbar utrustning. 229. corporate/ieee-industry-advisory-board/digital-storage-memory-tech- nology.pdf. 230. articles/bank-2030-financial-services-cloud.html. 231. stry-4-0-innovation-map-reveals-emerging-technologies-startups/. Handel – stora volymer av kunddata lagras och behandlas i molnlösningar. Molnlösningar för att lagra personuppgifter och annan data gör det möjligt för handlarna att hantera verksamhetskritiska funktioner såsom prissättning, individanpassad marknadsföring, lojalitetsprogram, lagerhantering och koordinering mellan försäljningskanaler i realtid och på ett mer resurseffektivt sätt.232 Handlare kan även använda edge storage i form av övervakningskameror som tillfälligt lagrar data direkt i kameraenheterna, vilket bland annat medför att bevakningen fungerar även om nätet inte gör det.233 Hälso- och sjukvård – molnlösningar används för att lagra patientdata och enkelt dela den mellan sjukhus, apotek och andra aktörer som patienten kommer i kontakt med. Molnlösningarna gör det möjligt för aktörerna att hantera lagringen av stora mängder personuppgifter i patientjornaler, patientportaler, mobilapplikationer och liknande på ett koordinerat, skalbart och kostnadseffektivt sätt.234 Med edge storage kan nya medicinska enheter både samla in och bearbeta patientdata i realtid, utan behov att skicka och hämta data från centraliserade datacenter.235 Media – ny lagringsteknik används bland annat för att hantera strömmande media i resurskrävande format, som ska kunna distribueras till många mottagare . Lätt skalbara molntjänster används också för att hantera svängningar i belastning på exempelvis beställvideotjänster.236 Transporter – molnbaserade tjänster och plattformar används i bilar och andra fordon.237 Användningen av molntjänster påverkar den personliga integriteten på flera sätt; det handlar om vilka personuppgifter som lagras, hur och var de lagras, hur många olika ställen som uppgifterna lagras på och vem eller vilka som kontrollerar lagringen och har åtkomst till uppgifterna. En mer lokal lagring kan innebära ett förstärkt integritetsskydd, men förutsätter att säkerheten i den lokala enheten är god. 5.6Teknik för att transportera data En ökad insamling och förmåga att bearbeta och använda data ställer också helt nya krav på infrastruktur och teknik för att transportera stora datamängder. 5G är nästa generation av mobila nätverk med extremt hög kapacitet för att transportera data. Ett centralt användningsområde för 5G kommer att vara IoT med till exempel uppkopplade enheter i industrin och i smarta städer. En integritetsrisk kopplat till 5G handlar om att geografisk positionering kommer vara möjligt med mycket större precision . Andra former av digital kommunikationsteknik som utvecklas tar sikte på kommunikation på nära avstånd, till exempel mellan enheter i ett och samma rum eller i chip som kan monteras i prislappar. Personlig data som samlats in transporteras ofta mellan olika enheter och användare inom en verksamhet. Det kan vara frågan om verksamheter som inte har data och analysresurser samlade på en enda plattform och som behöver överföras till en annan plattform. Det kan också vara frågan om att man behöver kombinera data från olika källor på ett effektivare sätt. Därför finns ett behov av att kunna transportera data på ett snabbt och säkert sätt. Data transporteras också mellan olika verksamheter. har transport bland annat kunnat ske genom olika former av lagringsmedium, såsom disketter, USB- minnen eller externa hårddiskar. bidrar internet och molnifieringen till att möjliggöra nya former av transport i olika dataflöden. 232. our-insights/the-cloud-as-catalyst-for-retail. 234. data-be-stored-in-and-beyond-0001. 236. nt-innovation-map-reveals-emerging-technologies-startups/. 237. nerships-built-on-innovation. Den parallella utvecklingen med bland annat allt fler konsumentprodukter och tjänster som är mobila, AI, avancerade molntjänster och IoT ställer också helt nya krav på teknisk infrastruktur och teknik för att transportera stora datamängder. Personuppgifter som samlas in ska vara tillgängliga närsomhelst och varsomhelst, utan väntetider eller fördröjning.238 Digital kommunikationsteknik utvecklas för att möta dessa krav och den nya tekniken innebär både möjligheter och nya risker för integritetsskyddet. 5G är nästa generation av mobila nätverk med extremt hög kapacitet för att transportera data. En företrädare för telekom-branschen beskriver att ”5G kommer att ge oss det uppkopplade samhället på riktigt. En värld där det digitala och fysiska flyter samman, med nästintill oändliga möjligheter att koppla upp och koppla ihop saker, företag och samhällsfunktioner”.239 5G innebär möjligheter som snabbare uppkoppling och möjlighet att hantera stora mängder data. Internationella forskare lyfter fram risker, till exempel när det gäller nationell säkerhet och personlig integritet.240 Det har funnits 5G-nät för forskning och utveckling, men först startades första publika kommersiella 5G-nät. I har myndigheten () ett samlat ansvar för elektronisk kommunikation, vilket bland annat innebär att främja tillgången till säkra och effektiva elektroniska kommunikationer.241 Auktionen av 5G-frekvenser har försenats efter att PTS beslut om att utesluta det kinesiska företaget från auktionen överklagats. Beslutet baseras på ett samrådsyttrande från Säkerhetspolisen och Försvarsmakten där pekas ut som ett av de största hoten mot . Säkerhetspolisen konstaterar att den kinesiska staten bedriver omfattande cyberspionage för att främja sin egen ekonomiska utveckling och utveckla sin militära förmåga – ett faktum som behöver förhålla sig till när 5G-nätet byggs.242 5G är inte i första hand avsedd för röstsamtal, utan för snabb, mobil dataöverföring med hög bandbredd. Ett stort användningsområde kommer att vara IoT i industri och smarta städer, där det är tätt mellan terminaler som kommunicerar mobilt. 5G är utformat för att terminalerna ska kunna vara påslagna ständigt med minimal strömförbrukning när de inte används. Tekniken innebär högre hastigheter, mindre fördröjning och ökad (drift)säkerhet, vilket är speciellt viktigt för industriella applikationer. En likhet med tidigare generationer av mobila nätverk är att nätverket vet var en användare finns, förutsatt att användarens telefon (eller annan utrustning för mobil datakommunikation) är påslagen, men med mycket större precision än tidigare generationers mobila nätverk.243 möjliggör 5G överföring av högupplösta bilder med mycket större precision och hastighet än tidigare nätverk. Möjligheten att med minskad fördröjning transportera bildmaterial lär, tillsammans med utveckling inom till exempel mjukvara för bildstabilisering, skapa mer möjligheter och incitament till insamling av biometrisk data från till exempel ansikten. Området för digital kommunikationsteknik innefattar bland annat teknik för mobil kommunikation (mobil infrastruktur, mobila nätverk, mobila standarder, mobila enheter och mobila tjänster), snabbare och bättre internet och teknik för digital kommunikation på korta avstånd, så kallad ”near field communication”. Utvecklingen drivs i flera parallella spår och syftena är bland annat att uppnå snabbare och resurseffektivare kommunikation med bättre täckning.244 Exempel på utvecklad teknik är följande. •Li-Fi – en teknik för snabb dataöverföring genom belysningen i ett rum. Snabba och för människor omärkliga variationer i ljusstyrkan kodar ett dataflöde som kan uppfångas av sensorer i datorer, mobiltelefoner och annan elektronik.245 •LPWAN (low power wide area network) – trådlösa nätverk med låg strömförbrukning och lång räckvidd. Som ”lång räckvidd” räknas här ungefär en kilometer eller mer. Sådana nätverk är önskvärda för IoT, i synnerhet utomhus och på avstånd från bebyggelse och eluttag. Datamängderna som ska överföras i IoT är ofta små, så det behövs inte mycket bandbredd, vilket innebär låg strömförbrukning.246 •Fiberteknik med högre hastigheter och mindre fördröjning. •Satellitkommunikation som möjliggör global täckning med mindre fördröjning än dagens satelliter. 238. Keynote_Dr.%20Uddenfeldt.pdf. 239. , citat från Kaaren Hilsen, VD . Komet informerar 2020:30 Den nya tekniken – så fungerar den. Komet informerar 2020:30 Den nya tekniken – så fungerar den. 242. ellt/2020-10-20-sakert-5g-viktigt-for-sverige.html. 243. to-say-goodbye-to-your-location-privacy. 244. gies-2018-2028-eca0dfb0f43c. Teknikområdet påverkar förutsättningarna för utvecklingen inom IoT och edge computing, men också andra aktuella teknikområden såsom AI och molntjänster, vilka alla har en potentiellt stor inverkan såväl på tekniken som på den personliga integriteten.247 Utveckling sker också för att öka möjligheten till kommunikation på korta avstånd (proximity tech). Området innefattar bland annat radiofrekvensteknik som kan byggas in till exempel i prislappar, nya generationer av Bluetooth, WiFi som kan hantera högre hastigheter och fler uppkopplade enheter, närfältskommunikation som används till exempel i busskort och mobiltelefoner för betalning och så kallad geofencing. Det senare är virtuella ”staket” baserade på exempelvis GPS-teknik och används för att avgränsa områden inom vilka dataöverföring sker. Inom transportsektorn är geofencing en digital geografisk zon där uppkopplade fordon kan styras på olika sätt, till exempel för att begränsa ett fordons tillgång till zoner.248 5.6.2.1Exempel på konkreta användningsområden och berörda sektorer I detta avsnitt ges kortfattade exempel på konkreta användningsområden för utvecklad teknik för transport av data inom olika sektorer, som ger en bild över olika tillämpningsområden och potentialen med utvecklingen inom olika sektorer. Transport – låg fördröjning i dataöverföringen i de mobila näten är en avgörande förutsättning för självförande fordon, och de nya tjänster som bygger på kommunikation fordon-till-fordon och fordontill- infrastruktur.249 Handel – med hjälp av proximity tech kan butiksägare samla in data om var kunderna befinner sig i butiken och kommunicera marknadsföringsbudskap och annan information direkt till deras smarta telefoner.250 Tillverkande industri – snabbare digital kommunikationsteknik möjliggör produktions- och underhållssystem som arbetar i realtid.251 Offentlig sektor – teknik för datakommunikation över långa avstånd gör det bland annat möjligt för myndigheter att säkra kommunikationsvägar mellan samhällsviktiga funktioner, i nätverk som staten själv kan kontrollera.252 247. stitute.dk/media/2984/the-wiki-brands-trend-collection.pdf sid.19. 248. tion/aktuell-forskning/transport-pa-vag/geofencing/. 249. affected-by-5g/. 250. imity-solutions. 251. affected-by-5g/. 252. Government. Försvar – nya kommunikationsmöjligheter mellan system och plattformar möjliggör tekniskt avancerad strid med olika system i samverkan. Med snabb överföring av data kan olika förband integrera sensorer, ledningsfunktioner, vapenbärare och vapen.253 Hälso- och sjukvård – infrastruktur med hög driftsäkerhet och hög kapacitet för dataöverföring är en förutsättning för telemedicintjänster254 och övervakning av patienter på distans.255 Energi – energisektorn har mycket infrastruktur som inte varit uppkopplad, av kostnadsskäl och för att infrastrukturen ofta är lokaliserad långt ifrån de befintliga kommunikationsnätverken, men som med hjälp av ny och utvecklad teknik nu kan kopplas upp.256 Media – sociala media och videotjänster där privatpersoner lägger upp ljud och rörlig bild, både inspelat och i realtid kräver en all större kapacitet i både de stationära och de mobila näten. Forskning – teknik för datakommunikation över långa avstånd gör det bl.a. möjligt för forskare att bevaka seismisk aktivitet över stora geografiska områden i realtid.257 Sammanfattningsvis finns stora möjligheter med nya former för att transportera data. Eftersom tekniken bland annat används för att lokalisera och interagera med enskilda individer kan tekniken få påverkan även på den personliga integriteten.258 I en värld där det digitala och det fysiska flyter samman genom alla möjligheter som enbart 5G kommer att ge i att koppla upp och ihop saker, verksamheter och funktioner, så påverkas även den personliga integriteten. att förstå vilka digitala avtryck man ger som individ. Komplexiteten och kapaciteten kommer med utvecklad teknik för att transportera data öka med en extrem hastighet. Detta för med sig att den enskilde inte kommer att ha någon möjlighet till överblick eller kontroll om inte verksamheterna från början bygger in transparens. 253. dokumentfiler/perspektivplan/slutlig-redovisning-av-perspektivstu- dien-2016-2018.pdf. Telemedicin är en sammanfattande term på olika tillämpningar inom sjukvården där telekommunikation används för att överföra icke-verbal medicinsk information. term/telemedicin/. 255. affected-by-5g/. 256. affected-by-5g/. 257. Government. 258. 444e-92d2-8f013bf08f9e. 5.7 Teknik för att säkra data Att säkerställa tillräcklig säkerhet för personuppgifter omfattar alla aspekter av informationssäkerhet, det vill säga både tekniska och organisatoriska säkerhetsåtgärder men även inbyggt dataskydd genom privacy by default och by design. Utvecklingen med fler uppkopplade enheter och ökad molnlagring har ökat antalet möjliga vägar för angripare att komma åt system, nät, datorer, enheter eller servrar. En ökad hotbild har drivit på utvecklingen av ny säkerhetsteknik som till exempel automatiserade säkerhetslösningar baserade på AI. Edge computing för också med sig krav på teknik för edge security, det vill säga att personuppgifter kan säkras direkt i de lokala enheter där de samlas in – exempelvis i en privatpersons smarta mobiltelefoner. Nya och fler lättanvända krypteringslösningar har också utvecklats . Ytterligare ett område under utveckling är blockkedjor, som kan användas för att lagra och säkra information. Blockkedjor rymmer, precis som viss annan säkerhetsteknik, både möjligheter och utmaningar ur ett dataskyddsperspektiv. Rätt använd kan den nya tekniken stärka integritetsskyddet. För att säkerställa att insamling, bearbetning, lagring och transport av data får genomföras och också genomförs på ett sätt som uppfyller lagstiftningens krav behöver data säkras. Säkerheten för data är central under hela livscykeln och går sällan att säkerställa om den inte byggs in och beaktas från början. Att säkerställa tillräcklig säkerhet för personuppgifter omfattar alla aspekter av informationssäkerhet –det vill säga säkerhetsåtgärder för att bevara konfidentialitet, riktighet och tillgänglighet för uppgifter i både fysisk och digital form. Arbetet innefattar både tekniska säkerhetsåtgärder och administrativa eller organisatoriska säkerhetsåtgärder,259 men även inbyggt dataskydd genom privacy by default och by design.260 Även om olika säkerhetsåtgärder delvis har olika perspektiv finns också gemensamma nämnare och beröringspunkter som gör att åtgärder inom ett delområde, direkt eller indirekt, ofta leder till höjd säkerhet inom de andra områdena. Den sammanlagda teknikutvecklingen med bland annat användningen av sensorer och sändare, IoT, webbskrapningstekniker och AI har medfört ökade krav på utvecklingen av digitala säkerhetslösningar. I takt med att allt fler verksamheter flyttar både data och applikationer till molnet och digitaliserar sina processer ökar också antalet vägar som finns för angripare att komma åt system, nät, datorer, enheter eller servrar.261 När antalet möjliga säkerhetshot växer ökar behovet av att automatisera säkerhetsskyddet och att göra det mer ”intelligent”. Detta driver fram nya tekniska lösningar även inom säkerhetsområdet. Även införandet av en dataskyddslagstiftning med skarpare sanktionsmöjligheter har drivit på en allt snabbare utveckling inom säkerhetsområdet. Nya tekniska lösningar ökar privatpersoners möjligheter att skydda sina personuppgifter och ger också verksamheter bättre förutsättningar att säkra känsliga data som samlas in. utvecklas metoder för att hacka eller komma åt data med bristande säkerhet. En stor utmaning inom säkerhetsområdet är att antagonistiska aktörer med skadliga intressen (till exempel enskilda hackers, organiserad brottslighet och främmande makt) i stor utsträckning har tillgång till samma teknik som de ”nyttiga” intressenterna. AI används till exempel av hackers för att bland annat identifiera säkerhetsbrister. Ny krypteringsteknik används för att kryptera skadlig kod, som därmed blir svårare för säkerhetsexperter att hantera.262 SIS-TR 50:2015 Terminologi för informationssäkerhet. Artikel 25 dataskyddsförordningen. 261. Solutions/Cyber%20Solutions/Perspectives%20on%20transforming%20cybersecurity/Transforming%20cybersecurity_March2019. ashx sid. 50. 262. ged-sword. 5.7.1AI-baserad säkerhetsteknik och edge security Inom flera av de teknikområden som beskrivits har utvecklingen också bidragit till nya typer av säkerhetslösningar. Ett exempel är automatiserade säkerhetslösningar baserade på AI. Tekniken gör det möjligt för säkerhetsansvariga att bevaka och skydda större system med många potentiella säkerhetsluckor och den kan förebygga och upptäcka säkerhetsbrister på alla nivåer, i nätverk, applikationer, operativsystem, hårdvara, system etcetera.263 Exempel på delområden där det utvecklas ny säkerhetsteknik baserad på AI är:264 •Bedrägeriprevention och identitetskontroll – för att säkra transaktioner, förhindra bedrägerier och identifiera bedragare med hjälp av maskininlärning. •Mobil säkerhet – för att exempelvis identifiera skadlig kod i mobilapplikationer. •Beteendeanalys och prediktiv intelligens – som lärt sig att upptäcka avvikelser i en verksamhets system och nätverk som kan vara tidiga tecken på en cyberattack. •Automatiserad säkerhet – som bland annat innebär en automatisering av arbetsuppgifter som tidigare utfördes av säkerhetsexperter. •App-säkerhet – AI-stöd till utvecklare av applikationer och analys av enskilda applikationer.