SV Europeiska unionens officiella tidning C 463/10

Sammanfattning av Europeiska datatillsynsmannens yttrande om system för personlig informationshantering

(Den fullständiga texten till detta yttrande finns på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats www.edps.europa.eu)

(2016/C 463/10)

I detta yttrande behandlas tekniker och ekosystem för att öka enskildas möjligheter att kontrollera hur deras personuppgifter delas (nedan kallat system för personlig informationshantering).

Vår vision är att skapa en ny verklighet där enskilda själva hanterar och kontrollerar sin identitet på nätet. Vårt mål är att omvandla de nuvarande operatörscentrerade systemen till människocentrerade system där enskilda skyddas mot olaglig behandling av deras uppgifter och mot integritetskränkande spårnings- och profileringstekniker i syfte att kringgå viktiga dataskyddsprinciper.

Denna nya verklighet kommer att underlättas av EU:s moderniserade regelverk och de möjligheter som skapas av alla relevanta tillsyns- och regleringsmyndigheters kraftfulla och gemensamma genomförande av detta regelverk.

Den allmänna dataskyddsförordning som nyligen antogs stärker och moderniserar regelverket så att det förblir effektivt i stordatans tidsålder, genom att stärka den enskildes tillit och förtroende för internet och den digitala inre marknaden. Dessa nya regler, inbegripet reglerna om ökad insyn och en kraftfull rätt till tillgång och till dataportabilitet, är tänkta att ge användarna större kontroll över sina uppgifter. De kan också bidra till mer effektiva marknader för personuppgifter, vilket gynnar både konsumenter och företag.

Nyligen avgav vi även ett yttrande om effektiv tillämpning av grundläggande rättigheter i stordataåldern. I detta lyfter vi fram aktuella marknadsvillkor och affärspraxis som skapar hinder för effektivt utövande av enskildas rätt att skydda sina personuppgifter och andra grundläggande rättigheter och uppmanar till ett samordnat och konsekvent genomförande av konkurrens-, konsumentskydds- och dataskyddslagstiftningen. Vi hoppas att detta kan skapa marknadsvillkor som får tjänster som värnar om den personliga integriteten att blomstra. Syftet med den strategi som valts i detta yttrande är att stärka grundläggande rättigheter i vår digitala värld och samtidigt ge företag nya möjligheter att utveckla innovativa personuppgiftsbaserade tjänster som bygger på ömsesidigt förtroende. Systemen för personlig informationshantering ser inte bara ut att kunna erbjuda en ny teknisk struktur och ett nytt sätt att organisera hanteringen av personuppgifter, utan även skapa förtroenderamverk, och till följd av detta alternativa affärsmodeller för att samla in och behandla personuppgifter i stordataåldern, på ett sätt som i högre grad respekterar den europeiska dataskyddslagstiftningen.

I detta yttrande beskriver vi kortfattat vad system för personlig informationshantering är, vilka problem de är tänkta att lösa, och hur detta ska gå till. Därefter analyserar vi hur de kan bidra till ett bättre skydd för personuppgifter och vilka utmaningar som finns. Avslutningsvis anger vi hur man kan bygga vidare på de möjligheter dessa system erbjuder. För att nya affärsmodeller på dataskyddsområdet ska blomstra kan det behövas nya incitament för de tjänsteleverantörer som erbjuder dem. Framför allt bör man undersöka vilka politiska incitament som skulle kunna motivera personuppgiftsansvariga att acceptera detta sätt att tillhandahålla personuppgifter. Ett initiativ från offentliga organ där dessa accepterar systemen för personlig informationshantering som en datakälla i stället för att direkt samla in data kan bidra till den kritiska massa som krävs för att personuppgiftssystemen ska accepteras.

Det framväxande landskapet med system för personlig informationshantering, där målet är att återge enskilda och konsumenter kontrollen över sina personuppgifter, förtjänar att uppmärksammas, stödjas och forskas vidare på så att man kan bidra till en hållbar och etisk användning av stordata och på ett effektivt sätt genomföra de principer som fastställs i den nyligen antagna allmänna dataskyddsförordningen.

I. SYSTEM FÖR PERSONLIG INFORMATIONSHANTERING: DELADE UPPGIFTER, DELADE FÖRDELAR?

1. De nuvarande villkoren för att behandla personuppgifter är ofta orättvisa för de enskilda vars uppgifter behandlas. Rättsliga förhållanden och teknisk utrustning gör det svårt för enskilda att utöva sina rättigheter och gör det möjligt för personuppgiftsansvariga att begränsa sin ansvarsskyldighet. Datamäklare, reklamnätverk, tillhandahållare av sociala nätverk och andra företagsaktörer har allt större akter över enskilda som deltar i dagens digitala samhälle, och enskilda håller på att tappa kontrollen över de digitala fotavtryck de lämnar. Enskilda är måltavlor för, profileras av och bedöms av aktörer som de ofta inte har någon kontroll över eller ens känner till, vilket kan få dem att känna hopplöshet och ett behov av att få kraft att ta kontroll över sin egen identitet. Även när de formellt har fått någon form av ”meddelande” och fått möjlighet att ge sitt ”samtycke” till allmänna villkor och bestämmelser upplever enskilda ofta att de befinner sig inuti ett system som är utformat för att maximera möjligheterna att tjäna pengar på deras personuppgifter, vilket i praktiken inte ger dem något val eller någon kontroll.

2. I Europeiska kommissionens meddelande om stordata (1) anges en uppsättning åtgärder med det gemensamma syftet att stärka både skyddet av personuppgifter och konsumentskyddet. Framför allt uppmuntras användningen av s.k. personuppgiftsområden som användarcentrerade, säkra och trygga platser att lagra och eventuellt tillåta andra att få åtkomst till personuppgifter. Vi delar uppfattningen att innovativa digitala redskap och affärsmodeller som bygger på att stärka enskilda bör uppmuntras. Dessa kan göra det möjligt för enskilda att gynnas av datadelningen, dvs. de kan vara med och påverka hur deras personuppgifter används och sprids.

3. I vårt yttrande ”Att möta utmaningarna från stordata” (2) hävdade vi att vi borde komplettera det rättsliga kravet på faktiskt medgivande med en verklig, praktisk kontroll över personuppgifterna. Vi argumenterade för att ”i stället för en administrativ börda kan tillhandahållandet av åtkomsträttigheter bli ett inslag i den tjänst som tillhandahålls kunderna”, och att organisationer som bygger sin verksamhet på att exploatera stordata bör ”vara beredda på att dela med sig av det välstånd som skapas av behandlingen av personuppgifter med de enskilda vars uppgifter de behandlar”. I detta sammanhang konstaterade vi att ”personliga datalager kan bidra till att dämpa en del av oron över förlusten av personlig kontroll över personuppgifter”. Den nyligen antagna allmänna dataskyddsförordningen (3) har stärkt de rättsliga kraven för medgivande (4) och har infört effektiva, moderna principer för inbyggt dataskydd och dataskydd som standard (5), samt en ny rätt till dataportabilitet (6). För att det nya dataskyddsregelverket ska uppfylla de löften som getts behöver vi praktiska verktyg som gör det möjligt för enskilda att utöva sina rättigheter på ett smidigt och användarvänligt sätt.

4. I detta yttrande utforskar vi nya tekniker och ekosystem för att öka enskildas möjligheter att kontrollera insamlingen och delningen av sina personuppgifter. Vi kallar detta för ”system för personlig informationshantering” (7). Begreppet system för personlig informationshantering innebär ett nytt synsätt och gör enskilda till ägare av sina egna personuppgifter. Detta kan skapa ett paradigmskifte i samband med hanteringen och behandlingen av personuppgifter, som kan få sociala och ekonomiska konsekvenser. Det nuvarande landskapet av nättjänster kännetecknas däremot av ett litet antal tjänsteleverantörer som dominerar marknaden genom att tjäna pengar på användares personuppgifter i utbyte mot ”gratis” tjänster. Detta kombineras ofta med en ojämlik maktbalans, där kunden ställs inför en ”passar det inte så låt bli”-situation, och en informationsasymmetri mellan tjänsteleverantörer och användare, där enskilda har liten eller ingen insyn i vad som händer med deras personuppgifter.

5. Grundtanken bakom begreppet system för personlig informationshantering är att omvandla det nuvarande operatörscentrerade systemet till ett system som sätter enskilda i centrum och gör det möjligt för dem att kontrollera sin egen nätidentitet (8). I princip bör enskilda kunna bestämma om och med vem de vill dela sina personuppgifter, för vilka ändamål och hur länge samt kunna spåra uppgifterna och bestämma sig för att ta tillbaka dem om de så önskar. Det är värt att utforska hur system för personlig informationshantering kan bidra till att dämpa en del av den oro som finns över enskildas förlust av kontrollen över sina personuppgifter, som har lyfts fram som en av de viktigaste farhågorna när det gäller stordata (9).

6. Denna strategi syftar till att stärka grundläggande rättigheter i vår digitala värld och samtidigt ge företag nya möjligheter att utveckla innovativa personuppgiftsbaserade tjänster som bygger på ömsesidigt förtroende. System för personlig informationshantering kan erbjuda en ny teknisk struktur och ett nytt sätt att organisera datahantering som bygger förtroenderamverk. Förhoppningen är att de ska möjliggöra alternativa affärsmodeller för insamling och behandling av personuppgifter i stordataåldern, som i högre grad respekterar den europeiska dataskyddslagstiftningen.

7. I detta yttrande beskriver vi kortfattat vad system för personlig informationshantering är, vilka problem de är tänkta att lösa, och hur detta ska gå till (10). Vi analyserar hur systemen kan bidra till bättre skydd av personuppgifter och vilka utmaningar som finns. Avslutningsvis anger vi hur man kan bygga vidare på de möjligheter dessa system erbjuder.

IV. SLUTSATSER OCH NÄSTA STEG

4.1 Mot en fullständig tillämpning av den allmänna dataskyddsförordningen – möjligheter

54. Som redan påpekats antog unionslagstiftaren nyligen ett dataskyddsreformpaket som stärker och moderniserar regelverket så att det fortsätter att vara effektivt även i stordataåldern.

55. Den nya allmänna dataskyddsförordningen, som bland annat innehåller regler om ökad insyn och kraftfulla åtkomst- och dataportabilitetsrättigheter, är tänkt att ge användarna större kontroll över sina uppgifter och kan också bidra till mer effektiva marknader för personuppgifter, vilket gynnar både konsumenter och företag.

56. De uppförandekoder och certifieringsprogram som föreskrivs i den allmänna dataskyddsförordningen är privilegierade instrument för att lyfta fram och tilldela en särskild roll till sådan teknik och sådana produkter som – i likhet med system för personlig informationshantering – på ett mer effektivt sätt kan genomföra dataskyddslagstiftningen i praktiken.

57. Det stora problemet för systemen för personlig informationshantering är att tränga in på en marknad som domineras av nättjänster som bygger på affärsmodeller och tekniska strukturer där enskilda inte har kontroll över sina egna uppgifter, vilket förklarades i avsnitt 3.9. Att skifta till en situation där enskilda faktiskt har möjlighet att ge en tjänsteleverantör tillgång till vissa uppgifter i deras system för personlig informationshantering i stället för att tillhandahålla uppgifterna direkt till tjänsteleverantören kommer att kräva ytterligare incitament för tjänsteleverantörerna. Kommissionen kan använda de initiativ som den har lagt fram beträffande dataflöden och äganderätt till data (11) för att undersöka vilka ytterligare politiska initiativ som skulle kunna motivera personuppgiftsansvariga att acceptera detta sätt att tillhandahålla data. Ett initiativ från offentliga e-förvaltningstjänster som innebär att dessa accepterar system för personlig informationshantering som en datakälla i stället för att direkt samla in data kan bidra till den kritiska massa som krävs för att system för personlig informationshantering ska accepteras.

58. Denna analys skulle kunna kompletteras av åtgärder för att lägga en bra teknisk, samhällelig och ekonomisk grund, inklusive standardiseringsinsatser, ekonomiska incitament och främjandet av forskning och pilotprojekt.

59. EU och medlemsstaternas offentliga förvaltningar, och projekt som dessa medfinansierar, är de första platser där detta ändrade synsätt bör testas, främjas och förhoppningsvis förverkligas.

4.2 Stöd till system för personlig informationshantering och bakomliggande teknik mot ett effektivt dataskydd

60. Bra lagstiftning är viktigt, men inte tillräckligt. Som vi konstaterade i vårt yttrande ”Att möta utmaningarna från stordata” (12) bör företag och andra organisationer som gör stora satsningar för att hitta innovativa sätt att använda personuppgifter använda samma innovativa tänkesätt när de genomför dataskyddsprinciperna.

61. Det tekniska bidraget till modellen med system för personlig informationshantering är en grundläggande komponent. System för personlig informationshantering kan testa dataskydd genom skräddarsydda strategier och teknik för att stödja dem. Relevanta forskningsområden, där det behövs lämpligt stöd och investeringar, inbegriper driftskompatibel och integritetsvänlig identitetshantering, auktorisationsmekanismer, datainteroperabilitet, datasäkerhet och mekanismer för automatiskt genomförande av upprättade ”avtal” mellan enskilda och andra parter. Allt detta uppvägs av kryptografi och kryptering och främjas av billig tillgång till datorkraft. Starkt stöd från beslutsfattare, som t.ex. kommissionen, till grundforskning och tillämpad forskning på dessa teknikområden är nödvändigt i detta inledande skede så att nuvarande möjligheter inte går förlorade.

62. För att främja forskning och utveckling samt marknadsspridning av system för personlig informationshantering rekommenderar vi att kommissionen planerar för synergieffekter med andra delar av strategin för en digital inre marknad, som t.ex. molnbaserade tjänster eller sakernas internet. På så sätt kan pilotprojekt genomföras för att utforma och testa hur molntjänster och sakernas internet interagerar med system för personlig informationshantering.

4.3 Hur Europeiska datatillsynsmannen kommer att föra diskussionen framåt

63. Europeiska datatillsynsmannens mål är att bidra att främja privata och offentliga insatser i ovannämnda riktning. Vi kommer att fortsätta att underlätta diskussioner, inklusive genom att t.ex. organisera evenemang/workshoppar för att identifiera, uppmuntra och främja bästa praxis i fråga om öppenhet och användarkontroll och undersöka de möjligheter som system för personlig informationshantering erbjuder. Vi kommer också att fortsätta att underlätta arbetet för Internet Privacy Engineering Network (Ipen), som är ett tvärvetenskapligt kunskapsnav för ingenjörer och integritetsexperter. I detta sammanhang kommer vi att fortsätta att tillhandahålla en plattform så att de som utvecklar och främjar system för personlig informationshantering kan dra nytta av utbyte med specialister på annan teknik och dataskydd.

Marrakech den 20 oktober 2016. Giovanni BUTTARELLI Europeisk datatillsynsman

(1) Meddelande COM(2014) 442 om en blomstrande datadriven ekonomi (https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy).

(2) Europeiska datatillsynsmannens yttrande 7/2015: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf – se framför allt avsnitt 3.

(3) Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

(4) Se bland annat artiklarna 6.1 a, 7 och 8 samt skälen 42–43 i den allmänna dataskyddsförordningen.

(5) Artikel 25 i den allmänna dataskyddsförordningen.

(6) Artikel 20 i den allmänna dataskyddsförordningen.

(7) Närbesläktade begrepp är ”personliga datalager”, ”personuppgiftsområden” eller ”personliga datavalv”. I detta yttrande använder vi uttrycket system för personlig informationshantering, eftersom det uttrycket verkar vara det som bäst beskriver begreppet på ett allmänt och lättbegripligt sätt. Med uttrycket system för personlig informationshantering avses i detta yttrande både system i singular och system i plural.

(8) Se skäl 7 i den allmänna dataskyddsförordningen: ”Fysiska personer bör ha kontroll över sina egna personuppgifter”. Se även, exempelvis, Doc Searls, The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Se t.ex. Ira S. Rubinstein, Big Data: The End of Privacy or a New Beginning? International Data Privacy Law, 2013, vol. 3, nr 2.

(10) Se till exempel den rapport om personliga datalager som University of Cambridge har utarbetat för kommissionen: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school

(11) Meddelande: Digitalisering av den europeiska industrin – Hur vi kan utnyttja den digitala inre marknadens alla möjligheter, http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm

(12) Europeiska datatillsynsmannens yttrande 7/2015, citerat ovan.