sou 2016 41

Till statsrådet Morgan Johansson

Regeringen beslutade den 8 maj 2014 att tillsätta en parlamentarisk kommitté med uppdrag att utifrån ett individperspektiv kartlägga och analysera sådana faktiska och potentiella risker för intrång i den personliga integriteten som kan uppkomma i samband med använd- ning av informationsteknik i såväl privat som offentlig verksamhet (dir. 2014:65). Den 18 februari 2016 beslutade regeringen tilläggs direktiv till kommittén (dir. 2016:12) om att en del av uppdraget ska redovisas i ett delbetänkande senast den 31 maj 2016. Delbetänkan- det ska enligt beslutet omfatta dels kartläggningen och analysen av riskerna för integritetsintrång, dels ett övervägande om behovet av ett integritetsskyddsråd.

Regeringen förordnade Göran Gräslund som ordförande. Sist i detta missiv finns en förteckning över förordnade ledamöter i kom- mittén, experter och sekreterare.

Kommittén har antagit namnet Integritetskommittén. Integritetskommittén får härmed överlämna delbetänkandet Hur

står det till med den personliga integriteten? (SOU 2016:41).

Arbetet i kommittén fortsätter nu med att följa upp effekterna i lagstiftningsarbetet till följd av förstärkningen av grundlagsskyddet för den personliga integriteten som genomfördes år 2011. Kommittén avser också överväga förslag på åtgärder för att minska de integritets risker som kartlagts.

En reservation har lämnats av Agneta Börjesson och Maria Ferm (bägge MP).

Stockholm den 7 juni 2016

Göran Gräslund

Förteckning över ledamöter, experter och sekreterare som deltagit i utredningsarbetet samt tider för dessas förordnanden och anställningar

Ledamöter

Göran Gräslund (f.d. generaldirektör, ordförande), fr.o.m. 2014-05-18

Phia Andersson (riksdagsledamot, S), fr.o.m. 2014-06-27 t.o.m. 2015-01-21

Agneta Börjesson (riksdagsledamot, MP), fr.o.m. 2015-05-19

Christoffer Dulny (politisk sekreterare, SD), fr.o.m. 2014-06-27 t.o.m. 2014-10-19

Maria Ferm (riksdagsledamot, MP), fr.o.m. 2014-06-27

Xamuel Gonzalez Westling (kommunfullmäktigledamot V), fr.o.m. 2015-04-28 t.o.m. 2016-03-02

Krister Hammarbergh (riksdagsledamot, M), fr.o.m. 2014-06-27 Ulf Isaksson (advokat, L), fr.o.m. 2014-06-27

Eva-Lena Jansson (riksdagsledamot, S), fr.o.m. 2015-01-22 Frida Johansson Metso (leg. psykolog, L), fr.o.m. 2014-07-301 Ulrika Karlsson (riksdagsledamot, M), fr.o.m. 2014-06-27 Mathias Leveborn (politisk sekreterare, V), fr.o.m. 2016-03-03

Johan Linander (f.d. riksdagsledamot, C), fr.o.m. 2014-06-27 t.o.m. 2016-03-22

Veronica Lindholm (riksdagsledamot, S), fr.o.m. 2014-10-23 Elin Lundgren (riksdagsledamot, S), fr.o.m. 2014-06-27 Jonas Millard (riksdagsledamot, SD), fr.o.m. 2014-10-20 Andreas Norlén (riksdagsledamot, M), fr.o.m. 2014-06-27

Ardalan Shekarabi (riksdagsledamot, S), fr.o.m. 2014-06-27 t.o.m. 2014-10-22

Tuve Skånberg (riksdagsledamot, KD), fr.o.m. 2014-06-27 Hanna Wagenius (jurist, C), fr.o.m. 2016-03-23

Heidi-Maria Wallinder (politisk sekreterare, V), fr.o.m. 2015-05-19

1 Begäran om entledigande inlämnad.

Innehåll

DEL I, Inledning
Sammanfattning..................................................................		27
1	Författningsförslag.......................................................	35

1.1Förslag till förordning om ändring av förordningen

	(2007:975) med instruktion för Datainspektionen	.................35
2	Integritetskommitténs uppdrag och arbete......................	37
2.1	Kommitténs uppdrag...............................................................	37
2.2	Kommitténs arbete..................................................................	38
2.3	Begreppet personlig integritet................................................	39

2.4Kommitténs bedömning av riskerna för

	den personliga integriteten......................................................		40
2.5	Motsvarande kartläggningar i andra länder...........................		42
	2.5.1	Norge........................................................................	42
	2.5.2	Danmark...................................................................	43
	2.5.3	Tyskland....................................................................	43
	2.5.4	Storbritannien...........................................................	43
2.6	Betänkandets disposition........................................................		44

DEL II, Kommitténs sammantagna bedömning m.m.

3	Kommitténs sammantagna bedömning...........................	49
3.1	Inledning..................................................................................	49
3.2	Den samlade effekten för den enskilde ..................................	49

Innehåll SOU 2016:41

3.3	Generella problem....................................................................		52
	3.3.1	Kunskap om hur uppgifterna hanteras...................	53
	3.3.2	Möjligheten för den enskilde att påverka................	53
	3.3.3	Den enskildes egna skyddsåtgärder........................	54
	3.3.4	Vad tycker den enskilde?..........................................	55
	3.3.5	Otillräcklig tillsyn....................................................	56
	3.3.6	Sanktionerna.............................................................	57
	3.3.7	Globaliseringen........................................................	57
	3.3.8	Journalistiska ändamål enligt
		personuppgiftslagen.................................................	58
	3.3.9	Näthat.......................................................................	59
	3.3.10	Offentlighetsprincipen............................................	60
	3.3.11	Personlig integritet ett viktigt värde
		för hela samhället .....................................................	61
3.4	Teknikutvecklingen.................................................................		62
3.5	Kunskapsläget..........................................................................		64
3.6	Drivkrafter bakom utvecklingen............................................		65
3.7 Kommitténs bedömning av respektive område.....................			65
	3.7.1	Skolan (kapitel 7).....................................................	65
	3.7.2	Arbetsliv (kapitel 8).................................................	70
	3.7.3	Hälso- och sjukvården och
		socialtjänsten (kapitel 9)..........................................	75
	3.7.4	Forskning och statistik (kapitel 10)........................	77
	3.7.5	E-förvaltning (kapitel 11)........................................	78
	3.7.6	Konsumentområdet (kapitel 12).............................	86
	3.7.7	Sociala medier och e-post (kapitel 13)....................	89
	3.7.8	Försäkringsverksamhet (kapitel 14).......................	91
	3.7.9	Bank- och kreditmarknaden (kapitel 15)................	93
	3.7.10	Kronofogdemyndighetens verksamhet,
		kreditupplysning och inkasso (kapitel 16).............	96
	3.7.11	Domstolarnas verksamhet (kapitel 17)...................	97
	3.7.12	De brottsbekämpande myndigheternas
		verksamhet (kapitel 18)..........................................	100
	3.7.13	Försvarsunderrättelseverksamhet och
		militär säkerhetstjänst (kapitel 19)........................	105
	3.7.14	Övervakning med kamera (kapitel 20).................	108
	3.7.15	Molntjänster (avsnitt 21.1).....................................	110

SOU 2016:41 Innehåll

	3.7.16	Big data (avsnitt 21.2).............................................	114
	3.7.17	Biometri (avsnitt 21.3)............................................	115
4	Overall assessment....................................................		117
4.1	The combined impact on the individual ..............................		117
4.2	General problems...................................................................		120
	4.2.1	Knowledge of how data is handled........................	121

4.2.2Opportunity for the individual to exert

	influence..................................................................	121
4.2.3	The individual’s own protective measures............	122
4.2.4	What do individuals think?...................................	123
4.2.5	Insufficient supervision.........................................	123
4.2.6	Sanctions.................................................................	125
4.2.7	Globalisation...........................................................	125

4.2.8Journalistic purposes under the Personal

	Data Act..................................................................	126
4.2.9	Internet hate...........................................................	127
4.2.10	Principle of public access to official documents......	128

4.2.11Privacy an important value for the whole

		of society ................................................................	129
4.3	The development of technology...........................................		131
4.4	The knowledge situation.......................................................		132
4.5	Drivers behind development.................................................		133
5	Den personliga integriteten.........................................		135
5.1	Inledning ...............................................................................		135
5.2	Teorier om personlig integritet.............................................		136
	5.2.1	Inledning.................................................................	136
	5.2.2	Rätten att bli lämnad i fred....................................	137
	5.2.3	Oönskad tillgång till jaget.....................................	138
	5.2.4	Hemlig information...............................................	138

5.2.5Kontroll över egna uppgifter och Strömholms

	kränkningsförteckning..........................................	139
5.2.6	Det att vara människa............................................	140
5.2.7	Förhållandet mellan människor............................	141

Innehåll SOU 2016:41

5.3 Behandling av begreppet i tidigare lagstiftningsarbeten		......141
5.3.1	Inledning ................................................................	141

5.3.21966 års integritetsskyddskommitté och

	Yttrandefrihetsutredningen...................................	142
5.3.3	Data- och offentlighetskommittén.......................	143

5.3.4Skyddet för enskilda personers privatliv

		– En studie ..............................................................	144
	5.3.5	Integritetsutredningen ...........................................	144
	5.3.6	Personuppgiftslagsutredningen .............................	145
	5.3.7	Integritetsskyddskommittén .................................	146
5.4	Personlig integritet i detta betänkande................................		147
	5.4.1	Begreppets innebörd ..............................................	147
	5.4.2	Intrång i den personliga integriteten ....................	148
6	Det grundläggande rättsliga skyddet............................		151
6.1	Inledning................................................................................		151
6.2	Europakonventionen .............................................................		151
6.3	EU:s rättighetsstadga.............................................................		152
6.4	Regeringsformen....................................................................		153
6.5	Personuppgiftslagen ..............................................................		153
	6.5.1	Dataskyddsdirektivet .............................................	153
	6.5.2	Lagens tillämpningsområde ..................................	154
	6.5.3	Grundläggande krav för behandlingen .................	154
	6.5.4	Tillåten behandling ................................................	156
	6.5.5	Information och rättelse .......................................	158
	6.5.6	Säkerhet vid behandlingen ....................................	158
	6.5.7	Överföring av personuppgifter till tredje land ....	159
	6.5.8	Kommande lagstiftning .........................................	160
6.6	Lagen om elektronisk kommunikation ...............................		161
6.7	Tillsyn	....................................................................................	163
	6.7.1	Inledning ................................................................	163
	6.7.2 ...................................................	Datainspektionen	163
	6.7.3 ..................................	Övriga tillsynsmyndigheter	164
	6.7.4 ......................................................	Pågående arbete	165
6.8	Sanktioner..............................................................................		165

SOU 2016:41 Innehåll

	6.8.1	Inledning ................................................................	165
	6.8.2	Brott mot personuppgiftslagen .............................	165
	6.8.3	Straffbestämmelser i bl.a. brottsbalken ................	166
	6.8.4	Skadestånd ..............................................................	170
DEL III, Riskbedömning av olika områden och företeelser
7	Skolan	.....................................................................	175
7.1	Inledning................................................................................		175
	7.1.1 .........................................	Beskrivning av området	175
	7.1.2 ..............................................	Regelverk och tillsyn	179
7.2	Digitala ..................................lärplattformar och läromedel		181
	7.2.1 ...........................................................	Företeelserna	181
	7.2.2 ....................................	Det skyddande regelverket	183
	7.2.3 ..................	Risker för den personliga integriteten	184
7.3	Sociala ...........................................medier i undervisningen		185
	7.3.1 ..............................................................	Företeelsen	185
	7.3.2 ....................................	Det skyddande regelverket	186
	7.3.3 ..................	Risker för den personliga integriteten	187
7.4	Elevhälsan...............................................................................		190
	7.4.1 ..............................................................	Företeelsen	190
	7.4.2 ....................................	Det skyddande regelverket	191
	7.4.3 ..................	Risker för den personliga integriteten	192
7.5	Skolfederationen....................................................................		193
	7.5.1 ..............................................................	Företeelsen	193
	7.5.2 ....................................	Det skyddande regelverket	194
	7.5.3 ..................	Risker för den personliga integriteten	194
7.6	Kameraövervakning .................................................i skolor		195
	7.6.1 ..............................................................	Företeelsen	195
	7.6.2 ....................................	Det skyddande regelverket	195
	7.6.3 ..................	Risker för den personliga integriteten	196
7.7	Kommitténs .....................samlade bedömning av området		198
8	Arbetslivet................................................................		203
8.1	Inledning................................................................................		203
	8.1.1 .........................................	Beskrivning av området	203

Innehåll SOU 2016:41

	8.1.2	Regelverk och tillsyn..............................................	204
8.2	Positionering..........................................................................		208
	8.2.1	Företeelsen..............................................................	208
	8.2.2	Elektroniska körjournaler......................................	208
	8.2.3	Fordonskontroll.....................................................	209
	8.2.4	Digitala färdskrivare...............................................	209
	8.2.5	Körstil.....................................................................	210
	8.2.6	Positionering i annan utrustning ..........................	211
	8.2.7	Risker för den personliga integriteten..................	213
8.3	Övervakning av aktiviteter och beteenden..........................		214
	8.3.1	Företeelsen..............................................................	214
	8.3.2	Internet och e-post.................................................	215
	8.3.3	Personliga konton...................................................	216
	8.3.4	Ärendehanteringssystem.......................................	217
	8.3.5	In- och utpasseringssystem...................................	218
	8.3.6	Flödes- och logistiksystem....................................	219
	8.3.7	Risker för den personliga integriteten..................	220
8.4	Registerkontroller och medicinska undersökningar...........		221
	8.4.1	Företeelsen..............................................................	221
	8.4.2	Risker för den personliga integriteten..................	222
8.5 Arbetstagare och sociala medier...........................................			223
	8.5.1	Företeelsen..............................................................	223
	8.5.2	Risker för den personliga integriteten..................	225
8.6	Kompetensdatabaser..............................................................		226
	8.6.1	Företeelsen..............................................................	226
	8.6.2	Risker för den personliga integriteten..................	227
8.7	Bakgrundskontroller och kandidatdatabaser.......................		228
	8.7.1	Företeelserna...........................................................	228
	8.7.2	Det skyddande regelverket....................................	231
	8.7.3	Risker för den personliga integriteten..................	231
8.8	Kameraövervakning...............................................................		232
	8.8.1	Företeelsen..............................................................	232
	8.8.2	Det skyddande regelverket....................................	234
	8.8.3	Risker för den personliga integriteten..................	235
8.9	Företagshälsovård..................................................................		237

SOU 2016:41 Innehåll

	8.9.1	Företeelsen..............................................................	237
	8.9.2	Det skyddande regelverket....................................	238
	8.9.3	Risker för den personliga integriteten..................	238
8.10	Kommitténs samlade bedömning av området.....................		239
9	Hälso- och sjukvård och välfärdsteknik inom socialtjänst.....		245
9.1	Inledning................................................................................		245
	9.1.1	Beskrivning av området.........................................	245
	9.1.2	Regelverk och tillsyn..............................................	246

9.2Allmänt om hanteringen av personuppgifter

inom hälso- och sjukvården..................................................		249
9.2.1	Informationshantering i hälso- och sjukvården.....	249
9.2.2	Hur ser informationshanteringen ut i dag?..........	250

9.3Behörighetsstyrning, åtkomstkontroll och spärrar och annan hantering av personuppgifter

	inom en vårdgivares verksamhet...........................................		254
	9.3.1	Företeelsen..............................................................	254
	9.3.2	Det skyddande regelverket....................................	256
	9.3.3	Iakttagelser från tillsynen......................................	257
	9.3.4	Risker för den personliga integriteten..................	258
9.4	Sammanhållen journalföring................................................		259
	9.4.1	Företeelsen..............................................................	259
	9.4.2	Det skyddande regelverket....................................	260
	9.4.3	Iakttagelser från tillsynen......................................	260
	9.4.4	Risker för den personliga integriteten..................	261
9.5	Kvalitetsregister.....................................................................		263
	9.5.1	Företeelsen..............................................................	263
	9.5.2	Det skyddande regelverket....................................	264
	9.5.3	Iakttagelser från tillsyn och myndighetsanalyser...	265
	9.5.4	Risker för den personliga integriteten..................	267
9.6	Välfärdsteknik inom socialtjänsten......................................		268
	9.6.1	Används välfärdsteknik i dag?...............................	268
	9.6.2	Företeelsen..............................................................	268
	9.6.3	Det skyddande regelverket....................................	270

9.6.4Smers rapport om robotar och övervakning

i vården av äldre......................................................

271

Innehåll SOU 2016:41

	9.6.5	Risker för den personliga integriteten..................	272
9.7	Kommitténs samlade bedömning av området.....................		273
10	Forskning och statistik...............................................		277
10.1	Företeelserna..........................................................................		277
	10.1.1	Statistik ..................................................................	279
	10.1.2	Forskning................................................................	281
10.2	Det skyddande regelverket....................................................		283
10.3	Risker för den personliga integriteten..................................		284
10.4	Kommitténs samlade bedömning av området.....................		288
11	E-förvaltning.............................................................		291
11.1	Företeelser..............................................................................		291
	11.1.1	Avgränsning............................................................	291
	11.1.2	Ökad insamling, spridning och användning
		av personuppgifter..................................................	292
	11.1.3	Betydelsen av att fastställa
		personuppgiftsansvaret..........................................	299
	11.1.4	Brister i beställarkompetens..................................	301
	11.1.5	Potentiella handlingar och metadata.....................	301
	11.1.6	Offentlighetsprincipen..........................................	303
	11.1.7	PSI-lagstiftningen..................................................	304
	11.1.8	Eget utrymme.........................................................	306
	11.1.9	Medborgarprofilering............................................	307
	11.1.10	Kontroller på nätet.................................................	310
	11.1.11	E-legitimation som avslöjar användaren...............	312
	11.1.12	Myndigheter med uppgifter i molnet....................	313
	11.1.13	Myndigheter i sociala medier och med
		gilla-knappar på webben........................................	313
	11.1.14	Informationssäkerhet.............................................	315
	11.1.15	Regeringens mål i lagmotiv, digital agenda
		och e-förvaltningsstrategi......................................	317
	11.1.16	Samordning och styrning av utvecklingen...........	318
11.2	Det skyddande regelverket....................................................		320
11.3	Kommitténs samlade bedömning av området.....................		321

SOU 2016:41 Innehåll

12	Konsumentområdet...................................................		329
12.1	Inledning ...............................................................................		329
	12.1.1	Beskrivning av området.........................................	329
	12.1.2	Internetekonomin..................................................	330
	12.1.3	Regelverk och tillsyn..............................................	331
12.2	Kartläggning på nätet – IP-adresser, kakor
	och digitala fingeravtryck......................................................		333
	12.2.1	Företeelserna...........................................................	333
	12.2.2	Sökmotorer.............................................................	333
	12.2.3	IP-adresser..............................................................	335
	12.2.4	Kakor.......................................................................	336
	12.2.5	Digitala fingeravtryck............................................	337
	12.2.6	Det skyddande regelverket....................................	338
	12.2.7	Risker för den personliga integriteten..................	339
12.3	Positionering..........................................................................		341
	12.3.1	Företeelsen..............................................................	341
	12.3.2	Wifi-tracking..........................................................	341
	12.3.3	Bluetooth low energy.............................................	343
	12.3.4	RFID.......................................................................	345
	12.3.5	GPS..........................................................................	347
	12.3.6	Mobilnät..................................................................	347
	12.3.7	Det skyddande regelverket....................................	348
	12.3.8	Risker för den personliga integriteten..................	348
12.4	Elektroniska betalningar.......................................................		349
	12.4.1	Företeelsen..............................................................	349
	12.4.2	Det skyddande regelverket....................................	350
	12.4.3	Risker för den personliga integriteten..................	350
12.5	Sakernas internet (Internet of Things)................................		352
	12.5.1	Företeelsen..............................................................	352
	12.5.2	Uppkopplade fordon..............................................	354
	12.5.3	Det skyddande regelverket....................................	355
	12.5.4	Risker för den personliga integriteten..................	356
12.6	Mediekonsumtion..................................................................		358
	12.6.1	Företeelsen..............................................................	358
	12.6.2	Det skyddande regelverket....................................	360
	12.6.3	Risker för den personliga integriteten..................	361

Innehåll SOU 2016:41

12.7	Smarta mätare.........................................................................		361
	12.7.1	Företeelsen ..............................................................	361
	12.7.2	Det skyddande regelverket ....................................	363
	12.7.3	Risker för den personliga integriteten ..................	364
12.8	Appar	......................................................................................	364
	12.8.1	Företeelsen ..............................................................	364
	12.8.2 ....................................	Det skyddande regelverket	367
	12.8.3 ..................	Risker för den personliga integriteten	367
12.9	Peer-to .......................................................-peer-plattformar		368
	12.9.1 ..............................................................	Företeelsen	368
	12.9.2 ....................................	Det skyddande regelverket	368
	12.9.3 ..................	Risker för den personliga integriteten	369
12.10	Kommitténs .....................samlade bedömning av området		369
13	Sociala ..........................................medier och e-post		373
13.1	Sociala ........................................................................medier		373
	13.1.1 ............................................................	Avgränsning	373
	13.1.2 .......................................	Begreppet sociala medier	374
	13.1.3 ........................	Olika kategorier av sociala medier	376
	13.1.4 ......................	Funktioner för klagomålshantering	378
	13.1.5 ..................................................	Annonsförsäljning	379
	13.1.6 ........................................	Två typer av information	379

13.1.7Vilka har intresse för uppgifter om användarna?....382

	13.1.8	Radering av uppgifter i sociala medier ..................	385
	13.1.9	Användarvillkor .....................................................	385
13.2	E-post	.....................................................................................	386
13.3	Det skyddande ....................................................regelverket		390
13.4	Kommitténs .....................samlade bedömning av området		394
14	Försäkringsverksamhet...............................................		399
14.1	Om försäkring ...............och hantering av personuppgifter		399
	14.1.1 ...................................................	Vad är försäkring?	399

14.1.2Behov av behandling av personuppgifter

inom försäkringsföretagen.....................................	400
14.1.3 Den rättsliga regleringen........................................	400

SOU 2016:41		Innehåll
14.1.4	Tillsyn m.m. ...........................................................	401
14.1.5	Branschöverenskommelser....................................	401

14.2Behandling av uppgifter för att bedöma

premier m.m. ........................................................................402

14.2.1	Försäkring och modern teknik..............................	402
14.2.2	Ny teknik ger nya bedömningsgrunder................	403
14.2.3	Insamling av kördata..............................................	405
14.2.4	Aktivitetsmätare.....................................................	405
14.2.5	Data från andra källor............................................	406
14.3 Exempel på risker för intrång i den
personliga integriteten...........................................................		408
14.3.1	Dataläckage.............................................................	408
14.3.2	Dataanvändning.....................................................	409

14.3.3Risk för diskriminering på

		försäkringsmarknaden?.........................................	409
	14.3.4	Inhämtning av uppgifter om hälsa........................	410
14.4	Kommitténs samlade bedömning av området.....................		412
15	Bank- och kreditmarknad............................................		415
15.1	Allmänt om behandling av personuppgifter
	inom bank och kreditmarknadsföretag................................		415
	15.1.1	Den rättsliga regleringen........................................	416
	15.1.2	Tillsyn m.m. ...........................................................	417
15.2	Behandling av uppgifter för kreditprövning
	och rådgivning.......................................................................		417
	15.2.1	Företeelsen..............................................................	417
	15.2.2	Det skyddande regelverket....................................	418
	15.2.3	Risker för den personliga integriteten..................	419
15.3	Kreditkort och transaktioner över internet.........................		421
	15.3.1	Företeelsen..............................................................	421
	15.3.2	Det skyddande regelverket....................................	422
	15.3.3	Risker för den personliga integriteten..................	423
15.4	Behandling av uppgifter för att uppfylla
	rapporteringskrav m.m. ........................................................		428
	15.4.1	Företeelsen..............................................................	428
	15.4.2	Det skyddande regelverket....................................	431

Innehåll SOU 2016:41

	15.4.3	Risker för den personliga integriteten..................	432
15.5	Kommitténs samlade bedömning av området.....................		434
16	Kronofogdemyndighetens verksamhet,
	kreditupplysning och inkasso......................................		437
16.1	Inledning................................................................................		437
16.2	Kronofogdemyndigheten......................................................		437
	16.2.1	Allmänt om Kronofogdemyndighetens
		behandling av personuppgifter..............................	437
	16.2.2	Det skyddande regelverket....................................	439
	16.2.3	Tillstånd och tillsyn...............................................	440
	16.2.4	Risker för den personliga integriteten..................	440
16.3	Kreditupplysning...................................................................		442
	16.3.1	Allmänt om kreditupplysning...............................	442
	16.3.2	Det skyddande regelverket....................................	443
	16.3.3	Tillstånd och tillsyn ..............................................	445
	16.3.4	Risker för den personliga integriteten..................	446
16.4	Inkasso....................................................................................		450
	16.4.1	Allmänt om inkassoverksamhet............................	450
	16.4.2	Det skyddande regelverket....................................	451
	16.4.3	Tillstånd och tillsyn...............................................	451
	16.4.4	Risker för den personliga integriteten..................	451
16.5	Kommitténs samlade bedömning av området.....................		452
17	Domstolarnas verksamhet...........................................		455
17.1	Inledning................................................................................		455
	17.1.1	Om domstolarna....................................................	455
	17.1.2	Domstolarnas användning av
		informationsteknik................................................	456
	17.1.3	Den rättsliga regleringen .......................................	457
	17.1.4	Tillsyn ....................................................................	459
17.2	Behandling av uppgifter i verksamhetsregister
	och besöksterminaler.............................................................		459
	17.2.1	Företeelsen..............................................................	459
	17.2.2	Det skyddande regelverket....................................	459

SOU 2016:41 Innehåll

	17.2.3	Risker för den personliga integriteten .................	460
17.3	Behandling av uppgifter i ljud- och bildupptagning............		461
	17.3.1	Företeelsen..............................................................	461
	17.3.2	Det skyddande regelverket....................................	462
	17.3.3	Risker för den personliga integriteten..................	463
17.4	Informationsutbyte mellan domstolar
	och andra myndigheter .........................................................		464
	17.4.1	Företeelsen..............................................................	464
	17.4.2	Det skyddande regelverket....................................	464
	17.4.3	Risker för den personliga integriteten..................	465
17.5	Utlämnande av uppgifter på medium
	för automatiserad behandling...............................................		466
	17.5.1	Företeelsen..............................................................	466
	17.5.2	Det skyddande regelverket....................................	466
	17.5.3	Risker för den personliga integriteten .................	467
17.6	Kommitténs samlade bedömning av området ....................		469
18	De brottsbekämpande myndigheternas verksamhet........		473
18.1	Inledning................................................................................		473

18.1.1De brottsbekämpande myndigheternas

	användning av informationsteknik.......................	473
18.1.2	Allmänt om den rättsliga regleringen...................	474
18.1.3	Tillsyn.....................................................................	476
18.2 Hemlig rumsavlyssning och annan ljudupptagning
som inte avser elektronisk kommunikation.........................		477
18.2.1	Företeelsen..............................................................	477
18.2.2	Det skyddande regelverket....................................	477
18.2.3	Risker för den personliga integriteten..................	479
18.3 Hemlig kameraövervakning och annan bildupptagning.....		480
18.3.1	Företeelsen..............................................................	480
18.3.2	Det skyddande regelverket....................................	480
18.3.3	Risker för den personliga integriteten .................	482
18.4 Hemlig avlyssning av elektronisk kommunikation.............		483
18.4.1	Företeelsen..............................................................	483
18.4.2	Det skyddande regelverket....................................	483

Innehåll		SOU 2016:41
18.4.3	Risker för den personliga integriteten .................		486
18.5 Hemlig övervakning av elektronisk kommunikation.........			487
18.5.1	Företeelsen..............................................................		487
18.5.2	Det skyddande regelverket....................................		487
18.5.3	Risker för den personliga integriteten..................		492
18.6 Genomsökning och kopiering av mobiltelefoner
och datorer..............................................................................			496
18.6.1	Företeelsen..............................................................		496
18.6.2	Det skyddande regelverket....................................		496
18.6.3	Risker för den personliga integriteten .................		498
18.7 Polismyndighetens informationsinhämtning
på internet m.m. ....................................................................			499
18.7.1	Företeelsen..............................................................		499
18.7.2	Det skyddande regelverket....................................		499
18.7.3	Risker för den personliga integriteten .................		500

18.8Tillgång till uppgifter i flygbolagens databaser (Passenger Name Record, PNR) och i EU:s

	informationssystem för viseringar (VIS).............................		501
	18.8.1	Företeelsen..............................................................	501
	18.8.2	Det skyddande regelverket....................................	501
	18.8.3	Risker för den personliga integriteten..................	502
18.9	Polisens behandling av personuppgifter
	i register och databaser..........................................................		503
	18.9.1	Företeelsen..............................................................	503
	18.9.2	Det skyddande regelverket....................................	503
	18.9.3	Risker för den personliga integriteten..................	507
18.10	Internationellt informationsutbyte......................................		512
	18.10.1	Företeelsen..............................................................	512
	18.10.2	Det skyddande regelverket....................................	513
	18.10.3	Risker för den personliga integriteten..................	515
18.11	Kommitténs samlade bedömning av området ....................		516
19	Försvarsunderrättelseverksamhet och
	militär säkerhetstjänst................................................		523
19.1	Inledning................................................................................		523

SOU 2016:41		Innehåll
19.1.1	Allmänt om verksamheten.....................................	523
19.1.2	Den rättsliga regleringen .......................................	524
19.1.3	Tillsyn m.m. ...........................................................	525
19.2 Försvarets radioanstalts behandling av uppgifter
i försvarsunderrättelseverksamhet (signalspaning).............		526
19.2.1	Företeelsen .............................................................	526
19.2.2	Det skyddande regelverket....................................	527
19.2.3	Risker för den personliga integriteten..................	529

19.3Försvarsmaktens informationshantering i försvarsunderrättelseverksamhet- och

	militär säkerhetstjänst...........................................................		534
	19.3.1	Företeelsen..............................................................	534
	19.3.2	Det skyddande regelverket....................................	534
	19.3.3	Risker för den personliga integriteten .................	536
19.4	Kommittén samlade bedömning av området.......................		537
20	Övervakning med kamera...........................................		541
20.1	Inledning................................................................................		541
	20.1.1	Allmänt om kameraövervakning m.m. ................	541
	20.1.2	Den rättsliga regleringen........................................	542
	20.1.3	Tillsyn ....................................................................	547
20.2	Användningen av övervakningskameror
	och därmed jämförbar utrustning........................................		547
	20.2.1	Företeelsen..............................................................	547
	20.2.2	Risker för den personliga integriteten..................	549
20.3	Lagring och automatisk bildanalys.......................................		552
	20.3.1	Företeelsen..............................................................	552
	20.3.2	Risker för den personliga integriteten..................	556
20.4	Kommitténs samlade bedömning av området.....................		557
21	Några särskilda företeelser..........................................		561
21.1	Molntjänster...........................................................................		561
	21.1.1	Företeelsen..............................................................	561
	21.1.2	Det skyddande regelverket....................................	566
	21.1.3	Kommitténs samlade bedömning av området......	571

Innehåll SOU 2016:41

21.2	Big data...................................................................................		575
	21.2.1	Företeelsen..............................................................	575
	21.2.2	Det skyddande regelverket....................................	579
	21.2.3	Kommitténs samlade bedömning av området......	581
21.3	Biometri..................................................................................		583
	21.3.1	Företeelsen..............................................................	583
	21.3.2	Det skyddande regelverket....................................	587
	21.3.3	Kommitténs samlade bedömning av området......	588
DEL IV, Övrigt
22	Informationssäkerhet och integritet..............................		593
22.1	Inledning................................................................................		593
22.2	Informationssäkerhet som område.......................................		594
22.3	Det skyddande regelverket....................................................		595
22.4	Lägesbild över informationssäkerheten i Sverige.................		597
22.5	Informationssäkerhet och integritet....................................		599
	22.5.1	Relationen mellan informationssäkerhet
		och integritet..........................................................	599
	22.5.2	Risker för integriteten ur ett
		informationssäkerhetsperspektiv..........................	601
	22.5.3	Ett europeiskt perspektiv på
		informationssäkerhet och integritet.....................	606
	22.5.4	Inriktning för informationssäkerheten
		i Sverige ur ett integritetsperspektiv.....................	607
22.6	Tillsyn och informationssäkerhet.........................................		610
22.7	Kommitténs samlade bedömning av området.....................		611
23	Vilket skydd erbjuder samhället den enskilde?...............		613
23.1	Inledning................................................................................		613
23.2	Tillsyn.....................................................................................		616
	23.2.1	På vilket sätt kan tillsyn ge ett skydd?..................	616
	23.2.2	Fungerar tillsynen?................................................	618
23.3	Ekonomisk ersättning...........................................................		622

SOU 2016:41

Innehåll

23.3.1På vilket sätt kan ekonomisk ersättning

vara ett skydd?........................................................

622

23.3.2Möjligheten för den enskilde att begära

		ersättning................................................................	625
	23.3.3	Ersättningsbeloppen vid rätt till skadestånd
		med stöd av personuppgiftslagen .........................	627
	23.3.4 Fungerar ersättningssystemet i dag?.....................		629
23.4	Straffrättsliga sanktioner.......................................................		631
	23.4.1	På vilket sätt kan straffrättsliga åtgärder
		vara ett skydd?........................................................	631
	23.4.2	Fungerar straffrättssystemet i dag?.......................	634
23.5	Kommitténs samlade bedömning.........................................		635
DEL V, Kommitténs förslag
24	Förslag om ökad information till regering och riksdag......		641
24.1	Integritetskommitténs uppdrag............................................		641
24.2	Integritetsskyddskommitténs överväganden.......................		642
24.3	En snabb utveckling...............................................................		643
24.4	I Norge och Tyskland............................................................		645
24.5	Kommitténs överväganden och förslag ...............................		646
	24.5.1	Behovet av ett nytt organ för säkrare
		avvägning i lagstiftningen .....................................	646

24.5.2Behovet av överblick och rapportering

		om utvecklingen ....................................................	647
	24.5.3	Rapport till regeringen ..........................................	648
	24.5.4	Skrivelse till riksdagen ..........................................	649
	24.5.5 Uppdraget att redovisa utvecklingen ...................		650
	24.5.6 Inget rådgivande organ vid Datainspektionen ....		652
	24.5.7	Kostnader ...............................................................	654
25	Konsekvenser av våra förslag.......................................		657
25.1	Inledning................................................................................		657
25.2	Ekonomiska konsekvenser....................................................		657
25.3	Andra konsekvenser..............................................................		658

Sammanfattning

SOU 2016:41

Kommitténs riskbedömning

För att göra det möjligt att jämföra de risker för den personliga in tegriteten som är förknippade med olika företeelser i samhället har kommittén valt att beskriva riskerna utifrån tre nivåer; viss risk, på- taglig risk eller allvarlig risk för den personliga integriteten. En risk- bedömning utgår dels från sannolikheten för att ett intrång inträffar, dels från effekterna eller konsekvenserna av intrånget. Mer om hur vi har arbetat med riskbedömningen redovisas i kapitel 2.

Företeelser som är förknippade med viss risk för den personliga integriteten

När det gäller företeelser som är förknippade med den lägsta graden av risk för den personliga integriteten handlar det ibland om före teelser som sannolikt inte så många av oss blir föremål för. Det kan också vara så att det inte är så många uppgifter som behandlas eller att det inte är så känsliga eller närgångna uppgifter. Det kan också vara så att det finns en bra och tydlig lagstiftning och att det inte har uppmärksammats särskilt stora tillämpningsproblem. Men dessa företeelser är ändå förknippade med risker för den personliga in tegriteten.

De företeelser som kommittén bedömt som förknippade med vissa risker för den personliga integriteten är:

•Hanteringen av personuppgifter inom elevhälsan (skolan)

•Skolfederation (skolan)

•Arbetsgivares granskningar av vad arbetstagare skriver på sociala medier (arbetsliv)

•Kompetensdatabaser och bakgrundskontroller inom arbetslivet

•Närvårdgivaretillhandahållerbådehälso-ochsjukvårdochpersonal administrativa tjänster (arbetsliv)

•Statlig statistikverksamhet (forskning och statistik)

•Myndigheters användning av sociala medier (e-förvaltning)

•Kronofogdemyndighetens verksamhet

SOU 2016:41

Sammanfattning

•Inkassobolagens verksamhet

•Personuppgiftsbehandling i domstolarnas verksamhetsregister, i samband med ljud- och bildupptagningar och i samband med in- formationsutbyte med andra myndigheter

•Tvångsmedel med stöd av 27 kap. rättegångsbalken (brottsbekämp ning)1

•Polisens spaningsverksamhet på internet och utåtriktade verk- samhet i sociala medier (brottsbekämpning)

•Polisens hantering av personuppgifter som överförs av flygbolag och polisens deltagande i internationellt samarbete (brottsbekämp ning)

•Behandling av personuppgifter i den militära underrättelsetjänstens it-system2

Företeelser som är förknippade med påtaglig risk för den personliga integriteten

När det gäller företeelser som är förknippade med den högre graden av risk för den personliga integriteten handlar det ofta om företeelser som innefattar behandling av fler uppgifter om enskilda och om be- handlingar som omfattar många av oss. De uppgifter som behandlas kan vara känsliga eller närgångna. Sådana företeelser är ofta regle- rade, men har ibland brister i regelverket eller i tillämpningen av dessa. Kommittén har bedömt riskerna efter en sammanvägning av dessa faktorer.

•Kameraövervakning (i allmänhet och särskilt beträffande över- vakning inomhus i skolan)

•Informationsdelning inom och mellan myndigheter (e-förvalt- ning)

1 För de enskilda personer som blir föremål för åtgärden är intrånget i den personliga integri- teten tveklöst mycket närgånget. Men ur ett riskperspektiv ska även sannolikheten för att någon blir föremål för åtgärden beaktas, liksom andra relevanta faktorer som ett fungerande regelverk och risken för oönskad spridning m.m. Kommittén bedömer därför att åtgärden ut- gör en viss risk för den personliga integriteten, det vill säga den lägre riskgraden.

2 Se fotnot 1.

Sammanfattning

SOU 2016:41

•Informationsutbyte med enskilda (e-förvaltning)

•Vidareanvändning av offentlig information enligt PSI-lagstift- ningen (e-förvaltning)

•Oskyddad e-post

•Försäkringsföretagens verksamhet

•Kreditprövning och rådgivning samt rapporteringskrav (bank- och kreditmarknad)

•Domstolarnas utlämnande av uppgifter på medium för automati- serad behandling

•Spaningsmetodersomenbartreglerasavpolislagen(brottsbekämp ning)

•Polisens behandling av personuppgifter i register (brottsbekämp- ning)

•Signalspaning (försvarsunderrättelseverksamhet och militär säker hetstjänst)3

•Tekniker som involverar många och detaljerade biometriska upp- gifter (biometri)

Företeelser som är förknippade med allvarlig risk för den personliga integriteten

När det gäller företeelser som är förknippade med den högsta graden av risk för den personliga integriteten handlar det ofta om företeelser som innefattar behandling av många uppgifter om enskilda och om behandlingar som omfattar stora delar av befolkningen. Det handlar också ofta om behandling av mycket känsliga eller närgångna person uppgifter. Sådana företeelser kan sakna reglering eller ha stora brister i regelverket eller i tillämpningen av dessa. Kommittén har bedömt riskerna efter en sammanvägning av dessa faktorer.

3 För de enskilda personer som faktiskt blir föremål för granskning är intrånget i den person- liga integriteten tveklöst mycket närgånget. Men ur ett riskperspektiv ska även sannolikheten för att någon blir föremål för åtgärden beaktas, liksom andra relevanta faktorer som ett fun gerande regelverk och risken för oönskad spridning m.m. Kommittén bedömer därför att åt- gärden utgör en påtaglig risk för den personliga integriteten, det vill säga den något högre riskgraden.

SOU 2016:41

Sammanfattning

•Digitala lärplattformar och digitala läromedel (skolan)

•Vissa sociala medier (i allmänhet och särskilt beträffande använd- ningen av sociala medier i skolans undervisning)

•Arbetsgivares positionering och annan övervakning och kontroll av arbetstagarnas aktiviteter och beteenden på arbetet

•Kameraövervakning på arbetsplatser

•Hälso- och sjukvård och välfärdstjänster inom socialtjänsten

•Viss forskning

•Myndigheter med kunddata i molnet (e-förvaltning)

•Medborgarprofilering och kontroller på internet (e-förvaltning)

•Brister i myndigheters informationssäkerhet (e-förvaltning)

•Konsumentområdet

•Försäkringsföretagens framtida verksamhet

•Användningen av kreditkort och andra digitala transaktioner (bank- och kreditmarknad)

•Kreditupplysningsföretagens verksamhet

•Lagring och vidarebearbetning av uppgifter som har samlats in med hjälp av kamerövervakning

•Publika molntjänster

•Big data

Informationssäkerhet och integritet

Vi har som enskilda personer ofta små möjligheter att påverka hur uppgifter om oss hanteras. Därför är det nödvändigt att de som han- terar våra personuppgifter tar sitt ansvar för säkerheten. Kommittén anser att det finns starka indikationer på allvarliga brister i informa- tionssäkerheten i offentliga verksamheter. När det gäller den privata sektorn har kommittén inte tillräckligt underlag för att göra en gene- rell bedömning. I kapitel 22 skriver vi mer om detta viktiga ämne.

Sammanfattning

SOU 2016:41

Övervägande om behovet av ett integritetsskyddsråd

Vi bedömer att det saknas behov av ett nytt integritetsskyddsorgan som, på det sätt som Integritetsskyddskommittén ansåg kunde över- vägas, skulle ha till huvuduppgift att verka för en säkrare avvägning av motstående intressen i lagstiftningen.

Förslag om ökad information till regering och riksdag

Kommittén lämnar förslag om att Datainspektionens uppdrag att följa och beskriva utvecklingen på it-området när det gäller frågor som rör personlig integritet och ny teknik, ska utvidgas till att även omfatta de legala förutsättningarna för integritetsskyddet och att myndigheten årligen ska lämna en redovisning om utvecklingen inom området till regeringen (kap. 24).

Vi föreslår även att regeringen i en årlig skrivelse till riksdagen ska informera om utvecklingen och det aktuella tillståndet när det gäller frågor som rör personlig integritet, informationsteknik och de legala förutsättningarna för integritetsskyddet.

Ett dygn med familjen Svenssons elektroniska spår

I del VI finns en vardaglig beskrivning av några integritetsrisker som en vanlig familj kan drabbas av under ett dygn. Syftet är att på ett lättillgängligt sätt redovisa hur modern teknik påverkar den person- liga integriteten.

Sammanfattningsvis

I detta betänkande redogör kommittén för behandlingen av person- uppgifter inom ett antal områden som en enskild person kommer i kontakt med i olika livsskeden och gör en riskbedömning av dessa. Vi beskriver därtill några vanliga generella företeelser, som har in verkan på den personliga integriteten. Vi drar också vissa slutsatser

SOU 2016:41

Sammanfattning

beträffande den samlade effekten för en enskild person av all den in- samling och lagring av personuppgifter, kartläggning och övervakning som han eller hon deltar i eller blir föremål för.

Den digitala utvecklingen innebär en genomgripande förändring av samhället och enskildas livsvillkor. Personuppgifter i digital form genereras och används i allt högre grad inom alla samhällsområden. Antalet aktörer ökar, användningsområdena ökar, lagringstiderna ökar, spridningen och utbytet mellan aktörerna ökar, vidareanvänd- ningen hos respektive aktör ökar liksom spridningen över nations- gränserna. Vi ser också att vissa stora aktörer, som en följd av utveck- lingen i stort och deras egna affärsstrategier, får tillgång till en allt större mängd personuppgifter och därmed har möjlighet att teckna en alltmer komplett bild av en enskild person. Ur den enskildes per- spektiv innebär utvecklingen att kunskapen om hur uppgifterna han- teras, liksom möjligheten att påverka detta, hela tiden krymper i för- hållande till den ökande hanteringen av personuppgifter i samhället.

I motsvarande mån begränsas även den enskildes möjlighet att genom ett verkligt fritt val bestämma hur uppgifter om honom eller henne ska hanteras. Integritetskommitténs generella slutsats är där- för att den enskilde – parallellt med den digitala utvecklingen – ut- sätts för stegvisa försämringar av den personliga integriteten.

Självfallet innehåller den digitala utvecklingen en enorm nytto potential, men i det här delbetänkandet har vi fokuserat på faktiska och potentiella risker.

Integritetskommitténs uppdrag och arbete

SOU 2016:41

2.2Kommitténs arbete

Uppdraget avser personuppgiftsbehandling inom i princip alla sam- hällsområden. Med tanke på vidden i uppdraget var det viktigt att inledningsvis lägga fast en struktur och ett arbetssätt som både ger möjlighet till en rimlig avgränsning av uppdraget och till prioritering inom denna avgränsning. Kommittén har avstått från att fördjupa sig i områden, som andra utredningar ägnar sig åt men har däremot fort- löpande följt dessas arbete.

Vi har prioriterat områden, som hittills varit bristfälligt kartlagda, särskilt känsliga eller riskfyllda ur ett integritetsperspektiv. Vi har också inriktat oss mot ny teknik och nya tillämpningar av gammal teknik, som vi bedömer kan få en stor påverkan. En avgränsning för kartläggningen har varit att bedöma integritetsriskerna för personer som vistas i Sverige, vilket i och för sig inte utesluter att person uppgiftsbehandling utanför landets gränser till någon del omfattas av uppdraget.

Kommittén har träffats vid tolv tillfällen och sekretariatet har träffat expertgruppen vid nio tillfällen. Därutöver har sekretariatet haft samråd med utredningarna Integritet och straffskydd (Ju 2014:74), Tillsynen över den personliga integriteten (Ju 2015:02), Mediegrund- lagskommittén (Ju 2014:07) samt haft kontakt med Utredningen om självkörande fordon på väg (N 2015:07).

Det i direktivet föreskrivna samrådet med Datainspektionen och Post- och Telestyrelsen har fullgjorts genom att dessa två myndig heter varit representerade i utredningens expertgrupp. Dessutom har sekretariatet haft kontakt med bl.a. Socialstyrelsen, Polisen, För- säkringskassan, Inspektionen för vård och omsorg, Skatteverket, Statens medieråd, Konsumentverket samt Datatilsynet i Norge.

För övrigt har sekretariatet genomfört ett antal expertseminarier och workshops för att fånga upp information och synpunkter från olika delar av samhället. Företrädare från hälso- och sjukvård, konsumentområdet, bank, försäkring, arbetsliv, sociala media och e-förvaltning har samlats av denna anledning. Kommittén har också genomfört en hearing med företrädare från skilda samhällsområden ochprofessionerförattkvalitetssäkrainnehålletikapitel3,Kommitténs sammantagna bedömning.

SOU 2016:41

Integritetskommitténs uppdrag och arbete

På uppdrag av kommittén har Lunds universitet genomfört en systematisk kunskapsöversikt, bestående av dels en bibliometrisk analys, dels en systematisk litteraturstudie beträffande forsknings- området digitalisering och personlig integritet.

Kommittén har också uppdragit till konsultbyrån Kirei att ta fram en rapport, som ger exempel på tekniska, administrativa och organi- satoriska åtgärder, som kan vidtas för att främja skyddet av den per- sonliga integriteten.

Densystematiskakunskapsöversiktenochrapportenomintegritets främjande åtgärder biläggs detta delbetänkande (bilaga 3 och 4).

Kommitténs ordförande och sekretariatet har deltagit i olika kon- ferenser och seminarier med anknytning till utredningsuppdraget.

2.3Begreppet personlig integritet

I likhet med ett antal tidigare utredningar om den personliga integri- teten, som verkat under de senaste 50 åren, har Integritetskommittén inte funnit det meningsfullt att försöka finna en precis definition av begreppet personlig integritet. Skälet till att begreppet inte låter sig fångas i en tydlig sentens är bl.a. att rätten till en privat sfär inte är absolut. Den är relaterad till en rad olika omständigheter, som dess- utom kan variera över tid. Kommittén ansluter sig därför till samma slutsats som uttrycktes i departementspromemorian Skyddet för en- skilda personers privatliv – En studie:

Det är svårt att ge ett sådant begrepp en tydligare avgränsning än att det innefattar vad som normalt framstår som angeläget att värna om för att den enskilde skall vara tillförsäkrad en rimlig, fredad, privat zon.4

En utgångspunkt för kartläggningen har därför varit den enskildes rätt till privata tankar och förtrolig kommunikation med andra, samt den enskildes möjligheter att själv avgöra vem som i olika samman- hang ska få ta del av uppgifter som rör denne. I den rätten ligger även ett skydd mot registrering, spridning eller annan behandling av fel- aktiga, kränkande eller påhittade uppgifter.

4 Ds 1994:51.

Integritetskommitténs uppdrag och arbete

SOU 2016:41

Utifrån uppdraget att kartlägga och analysera faktiska och poten- tiella risker för intrång i den personliga integriteten i samband med användning av informationsteknik har kommittén fokuserat på digi- tal insamling, användning och spridning av uppgifter – inklusive bil- der – om enskilda och deras personliga förhållanden.

Kommittén ska i sin kartläggning och analys utgå från ett individ- perspektiv. Vi redogör därför för behandlingen av personuppgifter inom ett antal områden som en enskild person kommer i kontakt med i olika livsskeden och gör en riskbedömning av dessa. Vi be skriver därtill några vanliga generella företeelser, som har inverkan på den personliga integriteten. Vi drar också vissa slutsatser beträffande den samlade effekten för en enskild person av all den insamling och lagring av personuppgifter, kartläggning och övervakning som han eller hon deltar i eller blir föremål för.

2.4Kommitténs bedömning av riskerna för den personliga integriteten

En traditionell riskbedömning syftar till att identifiera risker och till att därefter så långt som möjligt förhindra att riskerna leder till oönskade konsekvenser. Själva riskbedömningen innehåller dels en bedömning av sannolikheten för att en viss händelse ska inträffa, dels en bedömning av konsekvenserna av denna händelse.

I syfte att ge en mer nyanserad och förhoppningsvis användbar beskrivning av faktiska och potentiella risker för intrång i den person liga integriteten har kommittén valt att inte bara beskriva riskerna utan att också gradera riskerna i tre nivåer. Utgångspunkterna för riskbedömningen har dels varit sannolikheten för en enskild person att bli föremål för ett visst intrång, dels effekterna eller konsekven- serna av intrånget.

När det gäller att bedöma riskerna, utgår kommittén från ett antal faktorer:

•Vilken inverkan har intrånget på den enskilde? Denna inverkan är bl.a. beroende av graden av känslighet, både avseende uppgifterna som sådana men också intrångets karaktär.

SOU 2016:41

Integritetskommitténs uppdrag och arbete

•Sammanhanget och intrångets omfattning, dvs. hur många drab- bas, är det fråga om stora informationsmängder, är åtgärden riktad mot en viss krets eller urskillningslös?

•Hur stor är spridningen av de uppgifter, som intrånget innebär? Här ska även risken för oönskad spridning bedömas.

•Finns ett regelverk som ska minimera riskerna för intrång? Fungerar regelverket som avsett? Efterlevs det?

•Den enskildes egen möjlighet att påverka hanteringen av person- uppgifter har stor betydelse. När det gäller denna fråga är det för- utom frågan om samtycke bl.a. av intresse om den enskilde har rätt till insyn i behandlingen av personuppgifter och möjligheter till rättelse vid felaktig behandling.

•Risken för att en viss behandling negativt påverkar allmänhetens förtroende i de fall den personuppgiftsansvarige till exempel är en statlig myndighet.

De olika risknivåerna benämns som viss risk, påtaglig risk och all- varlig risk.

Nyttan av den bedömda företeelsen vägs inte in i själva risk bedömningen. Däremot kommer nyttoaspekten att vara av central betydelse när kommittén i sitt slutbetänkande ska överväga behovet av åtgärder för att stärka skyddet av den personliga integriteten.

Följande två exempel kan illustrera vårt arbetssätt:

•Behandling av personuppgifter i samband med kreditprövning: Sannolikheten för att stora delar av befolkningen berörs är täm ligen stor.5 Det rör sig om stora informationsmängder, det finns en marknad som omsätter uppgifterna, den enskilde har inte full insyn, lagskyddet fungerar inte fullt ut. Effekterna av intrånget är därmed tämligen stora. Slutsatsen blir påtaglig risk för den per- sonliga integriteten.

5 Ur ett individperspektiv innebär det att sannolikheten är stor för den enskilde att beröras av företeelsen.

Integritetskommitténs uppdrag och arbete

SOU 2016:41

•Hemlig rumsavlyssning:

Sannolikheten är låg för att företeelsen drabbar många. Det är fråga om ett mycket starkt intrång, men det är låg spridning av uppgifterna utanför brottsbekämpningen. Området är hårt regle- rat. Beslut av domstol förutsätts. Det har inte framkommit upp- gifter om att regelverket missbrukas. Här blir slutsatsen viss risk för den personliga integriteten.

Man skulle naturligtvis med viss rätt kunna argumentera för att in- trång av det här slaget alltid ska betraktas som allvarliga. Men i en riskbedömning gäller det att inte bara gradera själva intrånget i den aktuella företeelsen, utan också hur skyddet fungerar med hänsyn till regelverk, teknisk och administrativ säkerhet etc.

Riskbedömningen ger kommittén ett bättre och mer nyanserat underlag inför det fortsatta arbetet, då kommittén ska överväga be- hovet av åtgärder.

2.5Motsvarande kartläggningar i andra länder

Även i andra länder har det på senare år gjorts analyser av situationen för den personliga integriteten.

Några med Sverige jämförbara länder där sådana analyser har gjorts, är Norge, Danmark, Tyskland och Storbritannien.

2.5.1Norge

I Norge tillsatte regeringen i maj 2007 den s.k. Personvernkommisjonen. Kommissionen skulle bl.a. ge en helhetsbild över vilka utmaningar som integritetsskyddet stod inför och lämna vissa förslag till åtgärder. I sitt slutbetänkande konstaterar kommissionen bl.a. att de moderna systemen för övervakning gör att övervakningen blir så omfattande att den i enskilda fall är av totalitär karaktär.6

Personvernkommisjonens förslag behandlades några år senare i en skrivelse från Norges regering till Stortinget.7

6 Personvernkommisjonens slutbetänkande Individ og integritet – Personvern i det digitale samfunnet, NOU 2009:1.

7 Personvern – utsikter og utfordringar, Melding til Stortinget 11 (2012–2013).

SOU 2016:41

Integritetskommitténs uppdrag och arbete

2.5.2Danmark

Med anledning av den s.k. Se och Hör-affären i Danmark, tillsattes år 2014 två parlamentariska arbetsgrupper i Folketinget, varav den ena behandlade frågor om datasäkerhet. Arbetsgruppen skulle granska skyddet för integritetskänsliga personuppgifter i samhället i stort. Arbetsgruppens rapport innehåller inte någon kartläggning av integritetsrisker, men ger däremot en rad förslag till åtgärder för att förbättra situationen för den personliga integriteten. Förslagen rör principer for dataskydd, tillsynen över dataskyddslagstiftningen, tillsynsmyndigheternas sanktionsmöjligheter, ett samlat ansvar för dataskyddsfrågor och tekniska krav på skyddet av integritetskänsliga uppgifter.8

2.5.3Tyskland

Den tyska Förbundsdagen, Bundestag, tillsatte år 2010 en undersök ningskommission på temat ”internet och det digitala samhället”. En projektgrupp inom kommissionen granskade särskilt frågor om bl.a. dataskydd. Dessa frågor redovisades år 2012 i delbetänkandet Daten- schutz, Persönlichkeitsrechte, Fünfter Zwischenbericht der Enquete- Kommission Internet und digitale Gesellschaft.9

I delbetänkandet ges en beskrivning av olika internetrelaterade företeelser samt lämnas en rad olika förslag. Bl.a. sägs att även om dataskyddet förändras i takt med samhället, gäller fortfarande den enskildes rätt till självbestämmande över sina uppgifter. Den rätten utgör enligt kommissionen en grundläggande beståndsdel i ett fritt och demokratiskt samhälle.

2.5.4Storbritannien

Den brittiska dataskyddsmyndigheten, Information Commissioner’s Office, publicerade år 2006 A Report on the Surveillance Society.10

Rapporten innehåller bl.a. beskrivningar av en rad vardagliga situa

8 Beretning om datasikkerhed, Beretning afgivet af Retsudvalget den 15. januar 2015 Rets udvalget 2014–15, REU Alm.del Bilag 149.

9 Deutscher Bundestag, Drucksache 17/8999, 17. Wahlperiode 15. 03. 2012.

10 A Report on the Surveillance Society, For the Information Commissioner by the Surveillance Studies Network, september 2006. Rapporten var riktad till det brittiska parlamentet.

Integritetskommitténs uppdrag och arbete

SOU 2016:41

tioner som en tänkt familj kan hamna i och som innebär någon form av kartläggning eller övervakning. I en sammanfattning av rapporten sägs bl.a. att övervakningssamhället (eng. surveillance society) var ett faktum redan år 2006, eftersom vardagen i världens rika länder dygnet

runt präglas av kartläggning och övervakning. Även fördelarna med detta måste emellertid beaktas, konstateras det i rapporten.

Information Commissioner’s Office gav år 2010 ut en uppdatering av 2006 års rapport.11

2.6Betänkandets disposition

Kommittén ska enligt tilläggsdirektivet redovisa kartläggningen och analysen av riskerna för integritetsintrång och ställningstagandet till behovet av att inrätta ett integritetsskyddsråd i ett delbetänkande. Riskerna för integritetsintrång ska enligt vårt uppdrag redovisas ut ifrån ett individperspektiv. Vi har valt att beskriva riskerna för den enskilde individens integritet i olika samhällssektorer och även i sam- band med olika företeelser som är särskilt intressanta ur integritets synpunkt.

Betänkandet är uppdelat i åtta delar (I–VIII).

Del I Inledning omfattar Sammanfattning, Författningsförslag (kapitel 1) och Kommitténs uppdrag och arbete (kapitel 2).

Del II Kommitténs sammantagna bedömning m.m. omfattar kapi- tel 3–6. Denna del inleds med ett kapitel om Kommitténs samman- tagna bedömning (kap. 3) där kommittén redovisar sin bedömning av den samlade effekten av den kartläggning och övervakning som en enskild person blir föremål för i dagens alltmer digitaliserade sam- hälle. I kapitlet behandlas även de generella problem som vi har kun- nat se griper över flera samhällsområden. Vi återger här också de sammanfattande bedömningarna som vi har gjort av de olika om råden som behandlas i varje kapitel i delbetänkandet. Kapitel 4 är en engelsk sammanfattning av den generella bedömningen i kapitel 3. Kapitel 5 och 6 är två kapitel med grundläggande information om den personliga integriteten och den rättsliga regleringen.

11 Information Commissioner’s report to Parliament on the state of surveillance, Information Commissioner’s Office, november 2010.

SOU 2016:41

Integritetskommitténs uppdrag och arbete

Del III Riskbedömning av olika områden och företeelser omfattar kapitel 7–21. I kapitlen redogör kommittén för vilka särskilda risker för den personliga integriteten som är förknippade med olika sekto- rer och företeelser i samhället. I varje kapitel gör kommittén en be- dömning av riskerna för den personliga integriteten.

Del IV Övrigt omfattar kapitel 22–23, kapitel 22 handlar om in- formationssäkerhet och på vilket sätt ett sådant säkerhetsarbete kan skydda den personliga integriteten. I kapitel 23 beskriver kommittén vilket skydd som samhället erbjuder mot intrång i den personliga integriteten.

Del V Kommitténs förslag omfattar kapitel 24 och 25. I kapitel 24 tar kommittén ställning till frågan om integritetsskyddsråd och före- slår bl.a. att Datainspektionens uppdrag att följa och beskriva utveck lingen på it-området när det gäller frågor som rör personlig integritet och ny teknik utvidgas till att även omfatta de legala förutsätt ningarna för integritetsskyddet och att myndigheten årligen ska lämna en redovisning om utvecklingen inom området till regeringen. Det sista kapitlet (25) utgör en konsekvensanalys av kommitténs förslag.

Del VI Ett dygn med familjen Svenssons elektroniska spår utgör en vardaglig beskrivning av vilka integritetsrisker som en vanlig familj kan drabbas av under ett dygn. Syftet är att på ett mer lättillgängligt sätt redovisa hur modern teknik påverkar den personliga integriteten.

Del VII består av en reservation till betänkandet.

Till delbetänkandet hör fyra bilagor, som presenteras i del VIII; kommittédirektiven (bilaga 1 och 2), en systematisk kunskapsöversikt beträffande forskningsområdet digitalisering och personlig integritet (bilaga 3) och en rapport, som ger exempel på olika tekniska, administ rativa och organisatoriska åtgärder, som kan vidtas för att främja skyd- det av den personliga integriteten (bilaga 4).

Kommitténs sammantagna bedömning

SOU 2016:41

Utvecklingen kallas ibland för ”den digitala revolutionen”, att jämföra med den industriella revolutionen, eller för den ”tredje in dustriella revolutionen”, att jämföra med mekaniseringen och utveck- lingen av ångkraften samt därpå med utvecklingen av elektriciteten och förbränningsmotorer.1

Oavsett vilken beteckning och närmare beskrivning som väljs, innebär utvecklingen en genomgripande förändring av samhället och enskildas livsvillkor. Det ligger naturligtvis en enorm nyttopotential i den här utvecklingen, men kommitténs uppdrag är att fokusera på faktiska och potentiella risker för den personliga integriteten.

I dag genereras och används digitala personuppgifter i allt högre grad inom alla samhällsområden. Antalet aktörer ökar, användnings- områdena ökar, lagringstiderna ökar, spridningen och utbytet mellan aktörerna ökar, vidareanvändningen hos respektive aktör ökar lik- som spridningen över nationsgränserna samt möjligheterna att be- handla uppgifter i realtid. Vi ser också att vissa stora aktörer, som en följd av utvecklingen i stort och deras egna affärsstrategier, får till- gång till en allt större mängd personuppgifter och därmed har möjlig het att teckna en alltmer komplett bild av en enskild person.

Den här utvecklingen beror på digitaliseringen och på ett succes- sivt ändrat sätt att se på informationsbehandling, både inom offent- lig förvaltning och inom näringslivet.

Följande förenklade bild kan beskriva utvecklingen:

•Tidigare hade organisationer ett specifikt syfte för att bygga upp ett personregister eller en databas. Nu har man en mångfald av syften.

•Förr samlade man in uppgifter för att det fanns ett tydligt behov. Nu samlas de in för att de ”kan vara bra att ha”.

•Förr så var det viktigt, bl.a. av kostnadsskäl, att hålla lagrings tiderna korta. Nu ser man stora fördelar med att behålla upp gifterna.

•Förr fanns ett givet ändamål med sökningar och analyser av personuppgifter. Nu är big data och data mining en realitet.

1 Jfr Digitaliseringskommissionens slutbetänkande, Digitaliseringens transformerande kraft – vägval för framtiden, SOU 2015:91, s. 68.

SOU 2016:41

Kommitténs sammantagna bedömning

•Förr samlades personuppgifterna in genom en specifik regi strering. Nu uppstår de mer eller mindre automatiskt genom att den enskilde agerar och använder digitala verktyg.

•Personuppgifter har i allt högre grad blivit en handelsvara.

Den här utvecklingen har kunnat ske trots att basala dataskydds principer såsom skyldighet att informera, inhämta samtycke, gallra och den s.k. ändamålsprincipen fortfarande gäller.

Ur den enskildes perspektiv innebär utvecklingen att kunskapen om hur uppgifterna hanteras, liksom möjligheten att påverka detta, hela tiden krymper i förhållande till den ökande hanteringen av personuppgifter i samhället.

I motsvarande mån begränsas även den enskildes möjlighet att genom ett verkligt fritt val bestämma hur uppgifter om honom eller henne ska hanteras.

Kommitténs generella slutsats är därför att den enskilde på ett flertal områden drabbas av stegvisa försämringar av den personliga integriteten.

Vi kan konstatera en förskjutning av inflytandet över hur upp gifterna hanteras – från den enskilde till de personuppgiftsansvariga och från de personuppgiftsansvariga till tjänsteleverantörerna. Tjänste leverantörerna är inte sällan stora globala företag, även om de i formell mening endast är personuppgiftsbiträden och därmed är skyldiga att följa de ansvarigas instruktioner. De globala företagen är mycket stora, men få till antalet, och vanligen baserade i USA. Förskjutningen inne- bär därför också en koncentration och en geografisk omplacering av inflytandet bort från Sveriges och EU:s jurisdiktion.

Regleringen av hur uppgifter får hanteras ligger till stora delar på EU-nivå. Det nationella inflytandet från regering och riksdag får så- ledes utövas genom EU-samarbetet med de begränsningar som detta innebär. Härtill kommer, som redan nämnts, att den verkliga han teringen av uppgifter många gånger äger rum utanför EU, vilket i sin tur minskar EU:s möjligheter att påverka hanteringen. I samman- hanget är det av betydelse att EU:s bestämmelser om dataskydd oftast ger ett starkare skydd än motsvarande regler i andra delar i världen, exempelvis i USA.

Kommitténs sammantagna bedömning

SOU 2016:41

Klart står emellertid att när kunskapen och kontrollen förhållande vis minskar, måste slutsatsen bli att situationen för den personliga integriteten försämras, egentligen oberoende av vilken definition man väljer av begreppet personlig integritet.

Den enskildes minskande självbestämmande i detta hänseende är en utmaning som staten kan förhålla sig till på olika sätt. Den kan acceptera den enskildes relativt sett krympande kunskaper och på- verkansmöjligheter utan vidare. Den kan verka för att öka enskildas kunskaper och påverkansmöjligheter. Den kan också verka för att förhindra sådan hantering av uppgifter som av något skäl inte är önskvärd. Den svenska staten har hittills valt en blandning av samt- liga tre förhållningssätt.

Den samlade bilden av hur uppgifter hanteras i dag är en utmaning som också enskilda förhåller sig till på olika sätt. Situationen väcker frågan om människan och hennes beteende förändras av den accele- rerande digitala hanteringen av hennes uppgifter och hennes privata sfär? Och i så fall hur? Lunds universitet har på vårt uppdrag tagit fram en systematisk kunskapsöversikt om detta. Den visar att det såväl internationellt som i Sverige finns förvånansvärt lite kunskap om vilken inverkan som digital övervakning har på människans be teende och på hennes uppfattning om världen och sig själv. Vissa studier finns som pekar på att risken för bristande respekt för den personliga integriteten kan leda till minskat internetanvändande och minskat politiskt engagemang (åtminstone på nätet).2 Men ännu saknas vetenskapligt hållbara och empiriska bevis för att så verkligen är fallet.

3.3Generella problem

Vissa utmaningar för den personliga integriteten är inte avgränsade till någon särskild del av samhället, utan kan möta den enskilde i många olika situationer. Vi vill därför lyfta fram dessa och behandla dem särskilt, även om de sedan återkommer i olika sammanhang när vi återger de allvarligaste riskerna per område.

2 Se de artiklar som återges i kunskapsöversikten, särskilt i avsnittet om kunskap och beteende hos unga. Det finns även andra rapporter om detta, exempelvis Global Chilling – The Impact of Mass Surveillance on International Writers, Results from PEN’s International Survey of Writers (januari 2015).

SOU 2016:41

Kommitténs sammantagna bedömning

3.3.1Kunskap om hur uppgifterna hanteras

En återkommande iakttagelse är att enskilda i stor utsträckning är omedvetna om och har dåliga kunskaper om hur och varför deras per- sonuppgifter hanteras i utrustningar och tjänster i olika sammanhang. Detta bekräftas av ett antal undersökningar. I en undersökning inom arbetslivsområdet angav endast 21 procent av de tillfrågade arbets tagarna att de visste vilka uppgifter som arbetsgivaren samlade in om deras internetanvändande.3 I en annan undersökning ansåg åtta av tio tillfrågade svenskar att de inte har full kontroll över sina person uppgifter.4 En liknande iakttagelse har kommittén gjort beträffande personuppgiftsansvariga företag eller myndigheter. Här finns inte enkätundersökningar på samma sätt som avseende enskildas kun skaper och inställning. Men i våra kontakter med olika parter och i vår omvärldsbevakning har framkommit att det inte är ovanligt med bristande kunskaper även hos de personuppgiftsansvariga. Ett tydligt exempel på detta är myndigheter som köper molntjänster utan att skaffa sig närmare kunskaper om hur uppgifterna hanteras och sprids inom tjänsten.

3.3.2Möjligheten för den enskilde att påverka

Flera faktorer gör det svårare för den enskilde att påverka hur de egna uppgifterna lagras och sprids. Dels blir detta svårare på grund av den ökande vidareanvändningen av uppgifter för nya ändamål på olika håll i samhället, exempelvis genom big data, dels för att vi an- vänder oss av utrustning som genererar och sprider allt fler person- uppgifter, exempelvis genom appar och sensorer som finns installe- rade i t.ex. mobiltelefoner och fordon.

När den enskilde inte känner till och inte kan påverka hur person- uppgifter hanteras, urholkas samtyckets betydelse. De samtycken som inhämtas för olika behandlingar framstår alltmer som en chimär. Även i situationer där hanteringen är glasklar för den enskilde och ett tydligt samtycke efterfrågas, kan den enskilde i praktiken sakna valmöjlighet. Det betingar ofta ett högt pris i form av att exempelvis

3 Rapport från den 26 juni 2014 om en undersökning som fackförbundet Unionen genom- förde bland sina medlemmar.

4 Special Eurobarometer 431, Data Protection, publicerad i juni 2015 samt Datainspektionens årsredovisning för 2015, s. 4.

Kommitténs sammantagna bedömning

SOU 2016:41

avstå från mediekonsumtion på nätet, från att kommunicera med hjälp av sociala nätverk, från att använda kreditkort och från kon takter med vissa vårdgivare. Människan är en social varelse och be finner sig i en teknologisk kontext som det i praktiken är mycket svårt att ställa sig utanför. Att inte samtycka innebär nämligen att stå utanför, och är därmed sällan ett realistiskt alternativ. Ofta är sam tyckesfrågor binärt formulerade; antingen samtycker den enskilde till allt som den an svarige vill göra med uppgifterna för att tillhanda- hålla en viss tjänst, eller så samtycker den enskilde inte och får då helt avstå från tjänsten. Graderade alternativ förekommer sällan. I vissa sammanhang, som inom den offentliga förvaltningen, finns dessutom lagstiftning som inte förutsätter samtycke för behandling av upp gifterna. Den enskilde har då inte någon laglig möjlighet att motsätta sig att uppgifterna hanteras. Detta kan få långtgående effekter när uppgifter från förvaltningssfären når privat sektor genom exempelvis molntjänster eller med stöd av offentlighetsprincipen.

3.3.3Den enskildes egna skyddsåtgärder

Den enskildes möjlighet att vidta skyddsåtgärder förutsätter kun- skap om hur uppgifter hanteras och sprids av företag och myndig heter, men också kunskap om hur uppgifter sprids av andra enskilda personer, t.ex. när bilder på enskilda personer publiceras på sociala medier av andra användare.

Det är i praktiken ofta tidsödande och krångligt att skydda sig på andra sätt än att stå utanför, t.ex. genom att använda sig av krypterad e-post eller andra tekniker som är tillgängliga för den enskilde. Det framstår därmed inte som ett realistiskt alternativ för det stora fler- talet. En informationssäkerhetspecialist har på vårt uppdrag tagit fram en översikt över integritetsskyddande teknik.5 Kommittén delar den bedömning som görs i rapporten av enskildas möjligheter att skydda sig mot intrång i den personliga integriteten:

Många tjänster i vardagen som vilar på modern informationsteknik, och som uppfattas som oumbärliga, medför inte sällan en ingående kartläggning av individen. (…) Det går knappast som enskild medborgare att värja sig mot det integritetsintrång som sker genom användning av dessa tekniker, med mindre än att aktivt välja att inte använda flertalet av dem. Få kan nog tänka

5 Bilaga 4.

SOU 2016:41

Kommitténs sammantagna bedömning

sig att sluta köpa elektricitet eller att sluta använda en mobiltelefon. Alterna- tiven, att som konsument försöka skydda sin privata sfär genom olika medel, blir ofta så opraktiskt och kostsamt att det aldrig står som ett reellt alternativ för andra än grovt kriminella. Denna grupp av individer kan tänkas vidta långtgående åtgärder för att undvika att lämna elektroniska fotspår, inne fattande att uteslutande använda kontanter, att alltid bruka anonymiserings tjänster på internet och oregelbundet byta mellan olika mobiltelefoner och oregistrerade SIM-kort på olika platser, och också hålla apparaterna av- stängda då de inte behövs.

3.3.4Vad tycker den enskilde?

Det faktum att enskilda lämnar ifrån sig personuppgifter och inte i större utsträckning vidtar de mått och steg som ändå är möjliga för att skydda sina uppgifter, betyder inte att enskilda i allmänhet struntar i sin personliga integritet. I flera undersökningar svarar en- skilda tvärtom att det är viktigt för dem hur deras uppgifter hanteras, att de önskar ett tydligt regelverk som upprätthålls och att deras för- troende för olika aktörer i detta hänseende varierar stort. I en stor europeisk undersökning år 2015 om allmänhetens inställning till per- sonlig integritet, tog 52 procent av de svenska respondenterna av- stånd från uttalandet ”att lämna ut personlig information är inget problem för dig”.6

I en annan undersökning, genomförd av ett fackförbund, svarade en klar majoritet av de tillfrågade medlemmarna att de inte var oro- liga för integritetskränkningar i arbetslivet och att de inte heller själva hade blivit utsatta för något sådant.7 När de däremot fick läsa några exempel på övervakning och därefter fick ta ställning till om de tyckte att fackförbundet skulle driva frågan om stärkt integritetsskydd, var det en lika klar majoritet som tyckte att förbundet skulle driva frågan.

6 Special Eurobarometer 431, Data Protection, publicerad i juni 2015 samt Datainspektionens tidning Integritet i fokus, nr 4, 2015.

7 Rapport från den 26 juni 2014 om en undersökning som fackförbundet Unionen genom- förde bland sina medlemmar.

Kommitténs sammantagna bedömning

SOU 2016:41

3.3.5Otillräcklig tillsyn

Tillsynen av hur personuppgifter hanteras når bara en bråkdel av alla företeelser som är riskabla ur ett integritetsskyddsperspektiv. Det största tillsynsansvaret bärs av Datainspektionen, vars uppdrag i stort sett har varit detsamma sedan myndigheten bildades år 1973. Myndigheten har i dag cirka 45 årsarbetskrafter, vilka även ska utöva tillsyn över inkassoverksamhet och kreditupplysningsbranschen. Myndighetens storlek och uppdrag medför att många nya företeelser och aktörer av naturliga skäl inte alls blir granskade och bedömda ur ett integritetsskyddsperspektiv, eller blir det först när de funnits på marknaden under en period.

På senare år har situationen påverkats av att Datainspektionen successivt har minskat sina tillsynsaktiviteter. Myndigheten för klarar detta bl.a. med att antalet remisser och delningar ökat markant och att detta tagit resurser från tillsynsverksamheten.8

Inom det här området kan tillsynen sägas vara särskilt viktig. Nya företeelser introduceras i en mycket snabb takt. Många av dessa finns det anledning att bedöma ur ett rättsligt perspektiv. Regelverket är tämligen oprecist och avsiktligt allmänt hållet. Det är därför ofta först när tillsynsmyndigheten har bedömt en ny företeelse, som leve- rantörer och användare får någon ledning. Resultatet från tillsynen kan sedan användas i tillsynsmyndighetens utåtriktade och proaktiva arbete för att sprida kunskap.

Konsumentverket har uppgett sig ha vissa svårigheter med till synen i den digitala miljön. Problemen rör bl.a. digital och individ anpassad marknadsföring på exempelvis sociala medier, som baseras på en mer eller mindre ingående profilering. Företeelsen har inte varit föremål för Konsumentverkets tillsyn. Likaså har inte användar villkoren för sociala medier ännu granskats av Konsumentverket.

I kartläggningen har kommittén kunnat konstatera att tillsynen av den personliga integriteten i dag är splittrad på flera olika myndig- heter. Förutom av Datainspektionen och Konsumentverket bedrivs tillsyn inom integritetsområdet av bl.a. Post- och telestyrelsen, Säkerhets- och integritetsskyddsnämnden och länsstyrelserna. En splittrad tillsyn kan innebära effektivitetsförluster beträffande den totala tillsynen. Vi avstår från att i nuläget fördjupa oss i frågan, efter som den för närvarande analyseras av Utredningen om tillsynen över

8 Datainspektionens årsredovisning för 2015, s. 4.

SOU 2016:41

Kommitténs sammantagna bedömning

den personliga integriteten.9 Utredningen ska, i syfte att stärka skyd- det för den personliga integriteten, överväga hur ett i högre grad samlat integritetsskydd kan fungera inom en och samma myndighets struktur genom att tillsynen över behandling av personuppgifter samlas hos en myndighet.

3.3.6Sanktionerna

Generellt för hela området är att sanktionssystemet, både det straff- rättsliga och det skadeståndsrättsliga, inte verkar användas i någon större omfattning. Det är i alla fall mycket få ärenden som når dom- stolarna. Exempelvis har vi för perioden 2012–2015 endast funnit fem tvistemål i tingsrätt där frågan handlat om skadestånd enligt person uppgiftslagen (1998:204). Det ser inte annorlunda ut på straffrättens område. Under år 2014 avgjordes sammanlagt i landet endast fyra ärenden om brott mot personuppgiftslagen (genom domslut, straf - föreläggande eller åtalsunderlåtelse).

När systemet väl används rör det sig om lindriga straff och låga skadeståndsbelopp.

Sammanfattningsvis kan sanktionssystemet inte sägas fungera fullt ut, eftersom det inte har fått den effekt som avsågs med bestäm- melserna.

3.3.7Globaliseringen

En annan generell iakttagelse är att digitala tjänster alltmer präglas av globaliseringen. Många olika aktörer i olika länder samarbetar exem- pelvis i tillhandahållandet av alla komponenterna och programmen i en mobiltelefon. Personuppgifter om användaren kan ibland hanteras såväl av dem som tillverkat telefonen, som av operativsystemet lik- som av apparna i telefonen. De olika tillverkarna återfinns inte sällan i olika världsdelar. Apparna är i sin tur ofta molnbaserade. I moln tjänsters natur ligger att data flyttas mellan olika datacenter över hela världen. Det leder också till att dessa länders lagstiftning kommer att tillämpas på hur uppgifterna får hanteras, varvid det kan röra sig om bestämmelser som ger ett väsentligt sämre skydd för uppgifterna än

9 Ju 2015:02.

Kommitténs sammantagna bedömning

SOU 2016:41

reglerna i Sverige och EU, avseende exempelvis statens rätt att ta del av uppgifterna. Hanteringen i andra länder medför också att det i praktiken oftast är omöjligt att utöva kontroll och tillsyn över hur uppgifterna verkligen hanteras.

En annan följd av globaliseringen är att när myndigheter behöver lämna ut uppgifter till företag som är etablerade i andra länder, är det därefter andra landets lagar som reglerar hur uppgifterna får hanteras och spridas vidare.10

3.3.8Journalistiska ändamål enligt personuppgiftslagen

En fråga vi inte berör närmare i vår kartläggning är att dagens svenska ramlagstiftning, personuppgiftslagen, föreskriver att regelverket i väsentliga delar inte behöver tillämpas i vissa situationer eftersom det skulle begränsa yttrandefriheten. Det rör sig inte bara om publi- cering på nätet med hjälp av s.k. frivilliga utgivningsbevis, som ger grundlagsskydd och därmed sätter delar av personuppgiftslagen ur spel. Även en publicering utan frivilligt utgivningsbevis faller utan- för personuppgiftslagens tillämpning, om publiceringen görs för ett s.k. ”journalistiskt ändamål”. Bestämmelsen har sin grund och mot- svarighet i artikel 9 i dataskyddsdirektivet. När bestämmelsen har prövats av Högsta domstolen i Sverige, har domstolen bedömt att verksamhet som innebär att informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten, ska anses ha ett journalistiskt ändamål i personuppgiftslagens mening. Det kan alltså utgöra ett journalistiskt ändamål att informera, kritisera och debat- tera i vissa frågor, även om man gör det på ett för enskilda personer kränkande sätt.11

Bestämmelsen har i tillämpningen tolkats brett och har tillämpats exempelvis på publicering på nätet i form av bloggar som innehållit personuppgifter och som uppfattats som kränkande av de personer

10 Se t.ex. Högsta förvaltningsdomstolens avgörande HFD 2014 ref. 66 där den omständig heten att ett företag var etablerat i Norge medförde ett sämre sekretesskydd för uppgifter hos Socialstyrelsen eftersom det norska företaget inte var bundet av personuppgiftslagen. Frågan handlade om utlämnande.

11 NJA 2001 s. 409 samt Öman & Lindblom, Personuppgiftslagen (15 oktober 2015, Zeteo), kommentaren till 7 § andra stycket personuppgiftslagen.

SOU 2016:41

Kommitténs sammantagna bedömning

som omnämnts. Eftersom ändamålet med publiceringen befunnits vara journalistiskt, har publiceringen inte ansetts strida mot person- uppgiftslagen.12

3.3.9Näthat

Vad användare av sociala medier kan skriva och publicera om andra enskilda personer på nätet är en annan, betydande risk för den per- sonliga integriteten.

De senaste åren har det allt oftare rapporterats om olika former av hatkampanjer på nätet. Företeelsen kallas ofta för näthat. Exempelvis framgår det av organisationens Friends senaste rapport om barns och ungdomars erfarenhet av internet, att så många som var tredje per- son i åldersgruppen 10–16 blivit utsatt för kränkningar på nätet under det senaste året.13

I alla åldersgrupper är det vanligare att kvinnor utsätts för kränk- ningar på nätet än män. I betänkandet Integritet och straffskydd14 görs en sammanställning över forskning om kränkningar av den person- liga integriteten på nätet. I sammanställningen sägs bl.a. att det finns forskare på området som menar att många hatkampanjer på internet har en tydlig könsaspekt där kvinnor utsätts för sexualiserade kränk- ningar i avsevärt större utsträckning än män. Enligt dessa forskare kan det i förlängningen leda till en självcensur som skulle kunna ses som ett hot mot jämställdheten och yttrandefriheten.

Näthat kan även bedrivas av organisationer. Det har exempelvis förekommit att enskilda journalister blivit utsatta för upprepade och systematiska kränkningar på nätet av organisationer som de gran- skar, med det tydliga syftet att få granskningen att upphöra.15

Nätet beskrivs ibland som en ny arena för hot och kränkningar. Genom internet och annan elektronisk kommunikation har möjlig- heterna för enskilda att sprida integritetskränkande uppgifter om andra ökat väsentligt. Nya skyddsintressen har därför uppkommit

12 NJA 2001 s. 409.

13 Friends nätrapport 2016.

14 Utredningens om ett modernt och starkt straffrättsligt skydd för den personliga integri teten betänkande Integritet och straffskydd, SOU 2016:7.

15 I media har t.ex. nyligen rapporterats om ett fall i Finland, se artikeln Grävande journalist blev måltavla för proryska troll, publicerad på svt.se den 13 mars 2016 och författad av Ulf Mattmar och Hedvig Eriksson.

Kommitténs sammantagna bedömning

SOU 2016:41

och medfört ett väsentligt ökat behov av ett bättre utformat straff- rättsligt skydd för privatlivet och den personliga integriteten. Med den motiveringen föreslås i betänkandet Integritet och straffskydd16 en ny straffbestämmelse om olaga integritetsintrång i 4 kap. brotts balken. Den föreslagna bestämmelsen innebär ett straffansvar för den som gör intrång i någon annans privatliv genom att sprida bild eller annan uppgift på ett sätt som är ägnat att medföra kännbar skada för den som uppgiften rör.

Eftersom näthat som företeelse således nyligen analyserats, och då detta även lett till att det lämnats ett förslag som syftar till att an- gripa problemet, avstår kommittén från att fördjupa sig i företeelsen.

3.3.10Offentlighetsprincipen

I och med 1766 års tryckfrihetsförordning infördes offentlighets principen i svensk rätt. Den stadgar att all myndighetsutövning ska vara transparent och att den som så önskar har rätt att ta del av myndig heters offentliga handlingar. Sedan införandet har offentlighets principen haft en i huvudsak obruten kontinuitet och den har ett brett och starkt stöd i riksdagen. Principen utgör i dag en hörnsten för demokratin i Sverige.

Offentlighetsprincipen har handlingsoffentlighet som utgångs- punkt, varifrån avsteg endast får göras i särskild ordning och efter att lagstiftaren för varje avsteg gjort en noggrann intresseavvägning mellan behovet av offentlighet å ena sidan och behovet av sekretess å andra sidan.

I takt med digitaliseringen uppkommer nya konsekvenser för offentlighetsprincipen. Ju bättre och billigare de tekniska möjlig heterna att sprida och sambearbeta olika uppgifter blir, desto större blir det kommersiella värdet av de personuppgifter som finns hos myndigheterna. Många företag vill därför få åtkomst till uppgifterna. En del myndigheter kan ta betalt för vissa utlämnanden. Uppgifterna får därmed en ekonomisk betydelse även för myndigheterna. När företag har fått ut uppgifter med stöd av offentlighetsprincipen, kan de sprida och hantera uppgifterna för helt andra ändamål än dem för vilka myndigheten ursprungligen samlade in uppgifterna. Ibland kan företagen även publicera integritetskänsliga uppgifter på nätet med

16 SOU 2016:7.

SOU 2016:41

Kommitténs sammantagna bedömning

grundlagsskydd genom s.k. frivilliga utgivningsbevis, med den följ- den att vissa delar av det integritetsskyddande regelverket inte längre gäller. Frågan om de frivilliga utgivningsbevisens innebörd för den personliga integriteten, är för närvarande föremål för utredning i Mediegrundlagskommittén.17

Den svenska offentlighetsprincipen och det europeiska data- skyddsregelverket kan sägas verka i olika riktningar på ett principiellt plan: offentlighetsprincipen har offentlighet som utgångspunkt (och sekretessbestämmelser som reglerar undantagen), medan dataskydds direktivets huvudregel är att personuppgifter inte får spridas (om inte spridningen har stöd i någon av direktivets bestämmelser). Kommit- tén bedömer dock att de principiella skillnaderna har kunnat hanteras i den praktiska tillämpningen.

3.3.11Personlig integritet ett viktigt värde för hela samhället

Det är inte bara för individen som den personliga integriteten är av betydelse. Även för samhället i stort är det avgörande att invånarna kan vara fria i sin åsiktbildning och i sina yttranden samt att de som utgångspunkt kan ägna sig åt vad de vill och umgås med vem de vill, utan inblandning och insyn från utomstående. Rätten till personlig integritet (som i sig är en grundlagsskyddad mänsklig rättighet) är därmed en viktig faktor även för andra, centrala och grundlags skyddade rättigheter, dvs. för sådana rättigheter som är grunden för ett demokratiskt samhälle, särskilt rätten till yttrandefrihet, men även rätten till informationsfrihet och meddelarfrihet.

Vi har de senaste åren sett flera exempel på kränkningar av en- skilda personer i syfte att tysta dem i deras opinionsbildning, poli- tiska verksamhet eller journalistiska granskningsarbete. Om det här slaget av kränkningar av våra grundläggande rättigheter får sådana effekter att det på bredden påverkar enskildas vilja att kommunicera sin mening och delta i det offentliga samtalet, innebär det ett hot mot demokratin.

På samma sätt kan grundläggande värden hotas om enskilda av- står från aktiviteter på grund av förlorad tillit eller oro för att de ska bli registrerade, kartlagda eller övervakade på ett sätt som på sikt skulle kunna skada dem.

17 Ju 2014:17.

Kommitténs sammantagna bedömning

SOU 2016:41

Det finns inget tvivel om att det i enskilda fall finns personer som har valt att avstå från att utnyttja sina rättigheter, efter att ha utsatts för diverse kränkningar, hot och påtryckningar. Kommittén har dock inte underlag för att säkert kunna fastställa att befolkningen i stort har påverkats i sitt beteende med anledning av en ökad oro för att bli angripen på nätet, kartlagd eller övervakad.

Ett annat rättighetsrelaterat problem är den massiva datainsamling som möjliggör profilering och individanpassad marknadsföring eller individanpassade sökresultat (uppkomsten av s.k. filterbubblor)18, vilket kan leda till diskriminering och exkludering i strid med 1 kap. 2 § regeringsformen.

Ytterligare en risk består i ett eventuellt framtida, men långt ifrån omöjligt, scenario där mänskliga rättigheter inte längre upprätthålls på samma sätt som i dag, i Sverige eller i länder som vi samarbetar med och till vilka uppgifter flödar relativt fritt. De stora möjligheter som finns för myndigheter och företag att kartlägga enskilda, kan då komma att användas på sätt som kan vara mycket negativa för den enskilde.

3.4Teknikutvecklingen

I vår granskning har vi särskilt noterat vissa företeelser av mer teknisk natur som återkommer inom flera områden. Dessa företeelser ökar rent generellt i användning. Enligt vår mening är de av stor betydelse för integritetsskyddet redan i dag, men kan förväntas få ännu större betydelse i en inte alltför avlägsen framtid. De kan även komma att rita om spelplanen på flera sätt.

Big data och sakernas internet (Internet of things) är två sådana företeelser som vi behandlar i delbetänkandet.19

18 Företeelsen beskrivs närmare i kapitel 12 om konsumentområdet.

19 Kapitel 21 om några särskilda företeelser och kapitel 12 om konsumentområdet.

SOU 2016:41

Kommitténs sammantagna bedömning

Två andra företeelser är av ännu mer teknisk natur, men kommer att förändra förutsättningarna för hur vi kan hantera personuppgifter i framtiden: utvecklingen av artificiella neurala nätverk20 och utveck- lingen av kvantdatorn21.

Vi har också noterat att vissa företeelser inte har fått den betydelse för den personliga integriteten som de en gång förutspåddes få. Ett exempel på detta är RFID-taggar som vi visserligen nämner som en möjlig risk för den personliga integriteten, men som för några år sedan förväntades få betydligt större konsekvenser för den person- liga integriteten än vad vi bedömer att den faktiskt har fått. Det visar att det är svårt att med någon större exakthet förutspå vilka företeel- ser som kommer ha störst genomslag och inverkan även inom en nära framtid.

En annan iakttagelse som vi har gjort är att integritetsskyddande teknik skulle kunna användas i betydligt större omfattning än vad som är fallet i dag. Flera goda exempel tas upp i den tidigare nämnda översikten.22 Översikten har som utgångspunkt bl.a. att användandet av väl utformad integritetsfrämjande teknik gör det möjligt att uppnå en mer fördelaktig jämvikt i avvägningen mellan nyttoeffekter och risker för den personliga integriteten. Detta är enligt vår mening ett tydligt förbättringsområde.

En annan genomgående iakttagelse är att staten inte har någon helhetsbild över utvecklingen i stort på det här området, varken när det gäller teknikutvecklingen eller när det gäller nya arbetssätt som involverar personuppgiftsbehandling. Staten har enligt flera gransk

20 Nationalencykopedin förklarar neurala nätverk som nätverk av enkla summerande enheter som kommunicerar via kopplingar. I biologiska neuronnätverk är enheterna nervceller (neu- roner) och kopplingarna synaptiska förbindelser. Biologiska neuronnätverk har utgjort före- bilder vid utvecklingen av artificiella neuronnätverk, vilka realiseras som datorprogram, som integrerade kretsar (neurochips) eller med hjälp av analog optisk teknik, t.ex. holografi. Utmärkande för artificiella neuronnätverk är bl.a. inlärningsförmåga, parallellitet som medger hög beräkningshastighet och robusthet med avseende på felaktigheter och brus i indata och i nätverket självt. Exempel på användningsområden för neurala nätverk är mönster- och bild igenkänning, medicinska prognoser och artificiell intelligens.

21 Enligt Nationalencykopedin är den stora skillnaden mellan en vanlig dator och en kvant dator, att en sträng av kvantbitar i en kvantdator kan befinna sig i en (koherent) överlagring av alla kvantbitar som ingår i strängen, s.k. parallellism. Kvantbitarna kan också vara hoptvinnade, vilket medger mycket speciella möjligheter för en kvantdator att utföra beräkningar. Det är dessa två egenskaper, parallellism och framför allt hoptvinning, som ger en kvantdator dess unika egenskaper jämfört med en vanlig dator. En kvantdator kan inte utföra andra beräk- ningar än en vanlig dator, bara på ett annat sätt, men skulle kunna utför vissa beräkningar mycket snabbare än en vanlig dator.

22 Bilaga 4.

Kommitténs sammantagna bedömning

SOU 2016:41

ningsrapporter inte heller en samlad överblick och kontroll över hur den egna förvaltningen utvecklas inom området, dvs. inom den stat- liga e-förvaltningen.

3.5Kunskapsläget

Flera generalla iakttagelser görs i den tidigare nämnda kunskaps översikten från Lunds universitet beträffande kunskapsbildningen på forskningsområdet digitalisering och personlig integritet.23 Vi tror att deras iakttagelser har betydelse även utanför de akademiska miljöerna och återspeglar generella tendenser.

Översikten visar att det råder en tämligen strikt indelning av forskningen om digitalisering och personlig integritet mellan huvud- sakligen tre vetenskapliga fält. Det första är ett tekniskt fält som i hög grad handlar om systemutveckling. Det andra är ett juridiskt fält med fokus på frågor om författningsskydd för den personliga in tegriteten. Det tredje är ett mer allmänt samhällsvetenskapligt fält som samlar bl.a. informatik, psykologi, marketing och management- forskning. Gemensamt för alla tre fälten är att forskare inom respek- tive fält endast sällan visar intresse för vad som görs inom något av de andra fälten. Något annat som också framkommit är att det, i forsk- ning som rör personlig integritet, saknas en gemensam begrepps apparat och gemensamma metoder för de olika vetenskapliga fälten och disciplinerna.

Iakttagelserna i översikten kan hjälpa till att förklara varför problemställningar som förekommer inom juridiken (exempelvis att uppgifter hanteras för nya ändamål som är oförenliga med de ur- sprungliga ändamål för vilka uppgifterna samlades in) inte i högre utsträckning hämtar idéer till lösningar från teknikfältet (exempelvis att uppgifterna anonymiseras på ett sätt som minimerar integritets- riskerna utan att försämra möjligheten att få ny kunskap ur data samlingen).

23 Bilaga 3.

SOU 2016:41

Kommitténs sammantagna bedömning

3.6Drivkrafter bakom utvecklingen

Det är viktigt att förstå vilka drivkrafter som ligger bakom utveck- lingen för att kunna återkomma till rätt slags åtgärder för att försöka komma till rätta med problemen eller bristerna. En generell drivkraft är t.ex. ambitionen att i så hög grad som möjligt nyttogöra den infor- mation man har tillgång till. Vi har sett att den drivkraften ofta leder till att grundläggande principer som att uppgifter ska användas för särskilt angivna ändamål (finalitetsprincipen) och skyldigheten att gallra uppgifter, urholkas. En annan generell drivkraft hos alla aktörer

– oavsett om det rör sig om företag eller myndigheter – är att alltid göra uppgifter så användbara som möjligt för så många som möjligt, i syfte att uppnå maximal flexibilitet i den egna organisationen. Vissa integritetskyddande åtgärder, som t.ex. att begränsa den interna åt- komsten till personuppgifter inom organisationen, kan innebära att det blir svårare att snabbt flytta personal mellan olika arbetsuppgifter och därmed påverkas effektiviteten i organisationen. Andra driv krafter är mer specifika för sina områden. Exempelvis innebär affärs- modellerna för annonsering på nätet respektive för molntjänster, att hanteringen av personuppgifter styrs i en riktning som kan försämra den personliga integriteten.

3.7Kommitténs bedömning av respektive område

Nedan återges vad kommittén framfört under rubriken Kommitténs samlade bedömning av området i kapitel 7–21.

3.7.1Skolan (kapitel 7)

Av det här kapitlet framgår att det genereras allt fler och allt mer detaljerade uppgifter om eleverna i skolan, alltifrån hur de använder sig av läromedel och chattar med klasskamraterna, till vilka kamrater de helst syns tillsammans med i skolan.

Uppgifterna kan användas på ett sätt som innebär stor nytta för eleverna, t.ex. när de används för att utforma det stöd den enskilde eleven behöver i skolarbetet. Samtidigt finns det ett antal olika risker med den ökande mängden uppgifter om eleverna.

Kommitténs sammantagna bedömning

SOU 2016:41

Det mesta av den tilltagande personuppgiftsmassan om eleverna hanteras utan deras eller vårdnadshavarnas samtycke. Det kan också hända att uppgifterna hanteras med stöd av samtycken vars lämplig- het eller giltighet kan ifrågasättas.

Det finns oftast tydliga regler om att elever eller vårdnadshavare ska informeras om hanteringen av elevernas uppgifter. Men många gånger har inte ens den ansvarige, dvs. skolhuvudmannen, överblick över vilka uppgifter som hanteras av vem och hur. Den information som sedan ges vidare till elever och vårdnadshavare kan därför ofta antas vara mer eller mindre bristfällig.

De företeelser som nämns i det här kapitlet har inte granskats ur ett integritetsskyddsperspektiv på senare år, förutom när det gäller kameraövervakning och molntjänster. Det finns inte heller någon myndighet eller annan aktör som kan sägas ha en helhetsbild av vad som försiggår med bäring på integritetsskyddet i landets tusentals skolor – i vad mån kameraövervakning används, molntjänster anlitas, vilka sociala medier som används osv.

I sammanhanget är av betydelse att det rör sig om barns rätt till personlig integritet. Barn måste anses som särskilt viktiga när det gäller att skyddas mot otillbörliga intrång i den personliga integri teten, på samma sätt som de anses särskilt skyddsvärda i konsument rättsliga sammanhang. Barn kan behöva stöd när det gäller att freda sin personliga sfär eller när de behöver fatta beslut som rör deras nutid och framtid.

Ytterligare skäl till att vara särskilt försiktig med en närgången digital kartläggning av barn, är att erfarenheterna från skolan kom- mer att prägla dem för resten av livet – även när det gäller frågor om vilka intrång som ska accepteras och vad den enskilde kan förvänta sig att få veta och möjlighet att påverka när det gäller den personliga integriteten.

Det talas ibland också om att elever ges ”digitala tatueringar”, som följer dem under hela deras vandring genom utbildningssystemet och kanske även hänger med ut i arbetslivet. Eleverna ges ingen möjlighet att börja om när de byter skola och kanske inte ens när de slutar skolan.24 Tatueringarna består i personuppgifter och de analyser som gjorts med hjälp av uppgifterna, och som kanske aldrig gallras. Frågan om digitala tatueringar kan antas växa i betydelse i takt med att in

24 Se rapporten Personvern 2015 – tilstand og trender, från norska Teknologirådet och Data tillsynet, januari 2015.

SOU 2016:41

Kommitténs sammantagna bedömning

lärningsanalytiska metoder och arbetssätt vinner terräng och börjar användas av skolorna och systemleverantörerna. Problematiken är snarlik den som brukar anföras i samband med sökmotorernas algo- ritmer, vilket ibland omtalas som nätets ”filterbubblor” eller ”eko kammare”.25

Digitala lärplattformar och digitala läromedel

Det är skolornas huvudmän som är personuppgiftsansvariga för han- teringen av personuppgifter i de digitala lärplattformar och digitala läromedel som används vid skolan, men viktiga beslut som handlar om hantering av elevernas personuppgifter kan många gånger i prak- tiken fattas av enskilda lärare. Huvudmannen har sällan en fullständig överblick över eller insyn i vilka uppgifter som hanteras i systemen, hur de används och hur länge de sparas. Ibland känner huvudmannen över huvud taget inte till vilka system som används i skolan. Det är kommitténs uppfattning att detta är ett allmänt förekommande pro- blem i skolorna i dag.26

Därtill kommer att det för elever i grundskolan och gymnasie skolan inte finns någon sekretess eller tystnadsplikt för större delen av den växande uppgiftsmassan.

En stor andel av undervisningen för landets elever hanteras i digi- tala lärplattformar och i digitala läromedel. Det rör sig om allt fler och detaljerade uppgifter om varje enskild elev. Dessa uppgifter är av stort intresse för både skolhuvudmän och leverantörer för att dessa ska kunna lära sig mer om eleven, om inlärningsprocesser generellt och om hur plattformar och läromedel fungerar och kan förbättras. Uppgifterna kan därför komma att användas för helt nya ändamål, som eleven och ibland inte heller skolan, känner till och kan påverka. Elevuppgifternas värde innebär också att de kan komma att spridas till exempelvis leverantörernas samarbetsparter. Sekretesskyddet är relativt svagt och det saknas särskild lagstiftning för hanteringen av elevuppgifter, här gäller endast personuppgiftslagen. Sammantaget anser kommittén att användningen av digitala lärplattformar och läromedel innebär en allvarlig risk för den personliga integriteten.

25 Se kapitel 12 om konsumentområdet.

26 Denna iakttagelse görs avseende norska förhållanden, som i detta avseende bör vara mycket lika de svenska, se rapporten Personvern 2015 – tilstand og trender, från norska Teknologirådet och Datatillsynet, januari 2015.

Kommitténs sammantagna bedömning

SOU 2016:41

Samtidigt måste också beaktas att digitala lärplattformar och läro- medel kan förbättra undervisningen avsevärt och hjälpa eleverna att uppnå skolans mål.

Sociala medier i undervisningen

Fyra av tio lärare i gymnasieskolan använder sociala medier för att kommunicera med elever. I kommitténs kontakter med skolföre trädare, har uppgetts att det blir allt vanligare att sociala medier används i undervisningen i svenska skolor.

Användningen av sociala medier kan medföra att ett stort antal närgångna uppgifter om den enskilde oavsiktligen exponeras för andra. Vidare förekommer det att sociala medier använder uppgifterna för egna ändamål och sprider dem vidare till andra företag. Det är också svårt för användarna att få klarhet i hur uppgifterna faktiskt hanteras när användarvillkoren väl har godkänts. Den enskildes val- möjlighet är oftast begränsad till att antingen godkänna samtliga vill- kor, eller att avböja och därmed helt ställa sig utanför det sociala mediet. I avsnittet om sociala medier, bedömer kommittén därför att användningen av vissa sociala medier innebär en allvarlig risk för den personliga integriteten. Risken blir inte mindre vid användning i skolan. Vid sådan användning tillkommer som riskfaktorer att eleverna inte själva får bestämma över det. De blir i stället uppmanade av skolan att använda sociala medier. Skolan bestämmer också hur eleven ska använda sig av det. Det kan bl.a. leda till en oönskad sammanblandning av uppgifter från elevens privata respektive skolrelaterade verksam heter i det sociala mediet.

Samtidigt måste också beaktas att användningen av sociala medier i skolan kan bidra till undervisningen på ett mycket positivt sätt, bl.a. genom att göra det enklare att omvärldsbevaka, kommunicera och dela material med andra elever, lärare och föräldrar.

Elevhälsan

Inom elevhälsan hanteras känsliga uppgifter om alla elever i skolan. Uppgifterna har ett relativt starkt sekretesskydd och elevhälsans hantering av uppgifter omfattas av patientdatalagen. Det saknas undersökningar ur ett integritetsskyddsperspektiv från senare år om

SOU 2016:41

Kommitténs sammantagna bedömning

hur personuppgifter från eller inom elevhälsan hanteras i skolorna. Kommittén anser att hanteringen av uppgifter i elevhälsan innebär en viss risk för den personliga integriteten.

Samtidigt måste också beaktas att det är av vikt för elevhälsan, och därmed även för eleverna, att verksamheten kan dra nytta av de fördelar som dokumentation i digitala system kan medföra.

Skolfederationen

Skolfederationen är en tjänst som, använd på rätt sätt, kan innebära att uppgifter ges ett bättre skydd och exponeras för leverantörer i mindre omfattning än vad som annars hade varit fallet. Emellertid är skyddet beroende på skolhuvudmännens och leverantörernas kun- skaper och val av inställningar i tjänsten, samt deras medvetenhet om personuppgiftsansvarets placering och innebörd. Mot bakgrund av de bristande kunskaperna om integritetsskydd hos många skol huvudmän, anser kommittén att Skolfederationen innebär en viss risk för den personliga integriteten.

Kameraövervakning i skolor

Kameraövervakning inomhus förekommer sannolikt i ett betydande antal skolor i dag. Det finns skolor som har ett stort antal kameror inomhus. Det kan därför vara svårt för elever att hitta områden som inte övervakas. Men, det får antas att en så omfattande kamera övervakning inte är vanligt förekommande i landets skolor.

Besluten att införa kameraövervakning delegeras inte sällan långt ner i organisationen och dokumentationen av anledningen till över- vakningen är ofta bristfällig. De som övervakas i skolorna tillfrågas sällan om kameraövervakningen och om var och för vilka syften det ska få förekomma. Härtill kommer att teknikutvecklingen har gjort det möjligt att hantera bilderna i exempelvis ansiktsigenkännings- program. Kameraövervakning är särskilt reglerad i kameraövervak ningslagen. Där regleras bl.a. hur information ska lämnas och hur länge bilderna får lagras. Sammantaget anser kommittén att kamera- övervakning inomhus i skolor utgör en påtaglig risk för den person- liga integriteten.

Kommitténs sammantagna bedömning

SOU 2016:41

Samtidigt måste också beaktas att kameraövervakning inomhus i skolor kan vara ett betydelsefullt verktyg för att uppnå säkerhet och trygghet för eleverna. Det saknas dock svenska undersökningar om detta.

3.7.2Arbetsliv (kapitel 8)

Ett tydligt och problematiskt fenomen som gäller generellt inom arbetslivet, är risken för ändamålsglidningar när arbetsgivare digitalt hanterar uppgifter om arbetstagare. Det kan också konstateras att Datainspektionens praxis har varit relativt tillåtande inför ändamåls- glidningar inom arbetslivet.

Positionering samt annan övervakning av aktiviteter och beteenden

Arbetstagare avsätter allt fler och mer detaljerade elektroniska spår, samtidigt som utrustning och system för att övervaka och kontrol- lera blir allt billigare och enklare att använda.

En annan del av utvecklingen är att uppgifter om arbetstagare i allt större utsträckning hamnar hos externa leverantörer, inte sällan i molntjänster, som kan innebära en omfattande och svårkontrollerad spridning, lagring och vidareanvändning av uppgifterna. Flera led i den hanteringen görs många gånger utan vare sig arbetsgivarens eller arbetstagarnas kännedom.

Arbetstagaras möjligheter att påverka hanteringen är begränsade redan initialt, pga. arbetsledningsrätten, men försämras ytterligare av bristen på kunskap om hanteringen.

Det sagda, i kombinationen med faran för ändamålsglidningar i arbetslivet, medför att kommittén anser att det finns allvarliga risker för den personliga integriteten när arbetsgivare använder sig av posi- tionering och annan övervakning för att kontrollera arbetstagarnas aktiviteter och beteenden på arbetet.

Samtidigt måste beaktas att arbetsgivaren för att leda, organisera och följa upp arbetet kan behöva relativt detaljerade uppgifter om var arbetstagarna befinner sig, hur de använder sig av arbetsgivarens ut- rustning och vad de ägnar sin arbetstid åt.

SOU 2016:41

Kommitténs sammantagna bedömning

Sociala medier

När arbetsgivare skannar av sociala medier för att bilda sig en upp- fattning om vad arbetstagarna gör på nätet, innebär det att arbets givaren träder in på en arena som den enskilde vanligen kan betrakta som privat snarare än arbetsrelaterad. Emellertid finns det oftast möjligheter för arbetstagare att begränsa åtkomsten till uttalanden som skulle kunna uppfattas som känsliga eller kontroversiella i för- hållande till arbetsgivaren. Därför anser kommittén att arbetsgivares granskningar av vad arbetstagare skriver på sociala medier, innebär en viss risk för den personliga integriteten.

Samtidigt måste anses rimligt att arbetsgivare i sin omvärlds bevakning, inhämtar information från många olika källor, däribland publik information i sociala medier.

Kompetensdatabaser och bakgrundskontroller

Både kompetensdatabaser och utförande av bakgrundskontroller, kan innebära att många olika slags uppgifter om arbetstagarna han teras. Ibland kan redan enskilda uppgifter vara integritetskänsliga, medan det i andra situationer är sammanställningar av många upp gifter som tillsammans ger en närgången och detaljerad bild av arbets tagaren. Samtidigt är det troligen inte vanligt förekommande med omfattande och detaljerade kompetensdatabaser och bakgrunds kontroller. Vidare är spridningen av uppgifterna sannolikt begränsad, liksom många gånger åtkomsten till dem. Kommittén anser därför att kompetensdatabaser och bakgrundskontroller innebär en viss risk för den personliga integriteten.

Samtidigt måste beaktas att arbetsgivare kan behöva dokumentera arbetstagarnas kompetenser och genomföra bakgrundskontroller för att effektivt kunna leda och fördela arbetet och så långt som möjligt undvika felrekryteringar som både kan bli kostsamma och ha negativa effekter för andra arbetstagare hos arbetsgivaren.

Kommitténs sammantagna bedömning

SOU 2016:41

Kameraövervakning

Kameraövervakning omfattar allt fler arbetstagare samtidigt som det finns granskningar som visar att många arbetsgivare tillämpar den skyddande lagstiftningen på ett felaktigt sätt. Vidare finns det rapporter om att bilder från kameraövervakning använts för helt andra ändamål än dem för vilka kamerorna installerades. Kommittén anser därför att kameraövervakning på arbetsplatser innebär en all- varlig risk för den personliga integriteten.

Samtidigt måste beaktas att kameraövervakning kan medföra direkta fördelar för enskilda arbetstagare, främst när säkerheten på arbetsplatsen förbättras av kameraövervakningen.

Företagshälsovård

När en vårdgivare ska tillhandahålla både hälso- och sjukvård och personaladministrativa tjänster, kan det uppstå en sammanblandning av vårdgivarens olika roller, som kan få till följd att arbetsgivaren får ta del av uppgifter som hör till hälso- och sjukvårdsdelen av vård givarens uppdrag och som omfattas av tystnadsplikt även i för hållande till arbetsgivaren. Det finns emellertid ett tydligt regelverk både för tystnadsplikt gentemot arbetsgivare i dessa situationer, och för hur en vårdgivare får hantera personuppgifter (patientdatalagen). Kommittén anser att det finns en viss risk för den personliga integri- teten när vårdgivare ska tillhandahålla såväl hälso- och sjukvård som personaladministrativa tjänster.

Samtidigt kan det finnas fördelar även för den enskilde arbets tagaren om både företagshälsovård och personaladministrativa tjänster tillhandahålls av samma företag, i form av snabbare och enklare kon- takt och hjälp vid sjukfall.

Personuppgiftslagen och tillsynen

I kommitténs möten med arbetsmarknadens parter har vidare fram- kommit att såväl fackliga organisationer som arbetsgivarorganisa tioner anser att personuppgiftslagen är svår att tillämpa på arbetslivs-

SOU 2016:41

Kommitténs sammantagna bedömning

området. Det har också gjorts gällande att Datainspektionens vägledning, i den mån den efterfrågats, inte alltid är tillräckligt tydlig för att ge parterna den hjälp som de behöver.

Brister i kunskap och i den vägledning som ges, kan vara en del av förklaringen till att personuppgiftslagen mycket sällan används som sanktionsmedel av arbetstagarna eller deras organisationer. Det är anmärkningsvärt att det, trots den enorma tekniska utvecklingen, inte har uppkommit särskilt många tvister om personlig integritet inom arbetslivet i samband med användning av informationsteknik.

I likhet med vad som konstaterades i betänkandet Integritetsskydd i arbetslivet27, kan det fortfarande i dag sägas att bestämmelserna i personuppgiftslagen inte förefaller ha fått det genomslag på arbets livets område som man hade kunnat förvänta sig. I betänkandet kunde vid en internationell jämförelse också konstateras att de finländska och norska motsvarigheterna till personuppgiftslagen haft ett större genomslag på arbetslivets område, utan att några avgörande skillnader finns mellan ländernas dataskyddsrättsliga och arbetsrättsliga lag- stiftning. Förklaringen antogs vara att aktiviteten helt enkelt varit högre i dessa grannländer och att man tidigare än i Sverige hade för- stått att utnyttja dataskyddsreglerna på arbetslivets område.28

Ett särskilt regelverk för integritetsskydd i arbetslivet skulle kunna medföra att det blir lättare för parterna att förstå hur regelverket ska tillämpas på förhållandena i arbetslivet, och därmed kanske skulle kunna leda till att reglerna börjar användas oftare i parternas förhand- lingar och tvister.

Kommittén kan också konstatera att Datainspektionens tillsyn görs av enstaka företeelser, men att tillsynen inte leder till att myndig heten får en övergripande uppfattning av hur omfattande över vakningen faktiskt är av landets arbetstagare och i vilka former den bedrivs.

Beträffande kameraövervakning bedömer vi att det inte förefaller troligt att dagens tillsynsinsatser ensamma skulle kunna åstadkomma någon generell förbättring av arbetsgivarnas tillämpning.

Kommittén kan också konstatera att Datainspektionen inte används av parterna i den utsträckning som faktiskt vore möjligt – exempelvis skulle myndighetens bedömning av olika övervaknings-

27 SOU 2009:44.

28 SOU 2009:44.

Kommitténs sammantagna bedömning

SOU 2016:41

åtgärder kunna inhämtas vid MBL-förhandlingar i samband med införandet av nya system som kan innebära övervakning eller inför tecknandet av nya kollektivavtal.

Sammanfattning

Det är tydligt att ny teknik och nya arbetssätt ökar möjligheterna att kartlägga och övervaka arbetstagare på ett mycket närgånget och detaljerat sätt.

Ny teknik i kombination med nya arbetssätt innebär också risk för en ökande och oönskad sammanblandning av arbetstagarnas privatliv och arbetsliv.

Till detta kommer att den ökande användningen av övervaknings- tekniker i samhället i stort, träffar arbetstagare även när den egentliga avsikten med övervakningen inte är att kontrollera arbetstagarna, utan verksamhetens kunder, patienter eller brukare. Även när detta görs oavsiktligen, bidrar det ändå till att öka övervakningen av arbets tagarna. Sådan övervakning omfattar särskilt vissa yrken, t.ex. säljare i butik, vårdbiträden samt personal i restauranger och caféer, vilka kännetecknas bl.a. av att de sysselsätter en betydligt högre andel kvinnor än män. Å andra sidan är andra, mer direkt övervakade yrken vanligare för män, t.ex. lastbils- och långtradarförare samt lager arbetare. Dessa yrken sysselsätter dock färre arbetstagare än i de tidigare nämnda kvinnodominerade yrkesgrupperna.29

De ökade möjligheterna till detaljerad kontroll, kartläggning och övervakning i realtid riskerar att förskjuta styrkeförhållandena inom arbetslivet och att försvaga arbetstagarnas ställning.30

Samtidigt är det viktigt att beakta att arbetsgivare har en rätt att vidta sådana åtgärder som är rimliga och som faller inom rätten att leda och fördela arbetet. Arbetsgivaren har också en skyldighet att upprätthålla säkerheten för både arbetstagare och utrustning. Effek- tiva och säkra arbetsplatser har många fördelar även ur den enskilde arbetstagarens perspektiv.

29 Enligt Statistiska centralbyråns yrkesregister med yrkesstatistik (december 2015).

30 Norska Datatilsynet uttrycker detta i följande ordalag: ”Den totale mengden av kontroll tiltak og registreringer kan også gjøre at balansen mellom partene i arbeidslivet forskyves ytterligere. Arbeidsgiveren vet mye om hver og enkelt av oss, men vi vet ikke nødvendigvis hva som registreres, hvem som ser hva, og hva opplysningene kan og skal brukes til” Datatilsynets rapport ”En vanlig dag på jobb” Arbeidshverdagens elektroniske spor, oktober 2012.

SOU 2016:41

Kommitténs sammantagna bedömning

Digitaliseringen i samhället innebär att stora mängder uppgifter om arbetstagare kommer att sparas under oöverskådlig tid och att uppgifterna lätt kan spridas, bearbetas och vara tillgängliga för många. Det är inte förvånande att många arbetsgivare använder sig av olika kontroll- och övervakningsfunktioner för att minska riskerna för felaktiga beslut i verksamheten och vid rekrytering. Samtidigt riskerar denna utveckling att leda till en exkludering från arbetslivet av allt fler individer.

3.7.3Hälso- och sjukvården och socialtjänsten (kapitel 9)

Hälso- och sjukvård

Tillgången till relevant information är en förutsättning för en god och säker hälso- och sjukvård för alla medborgare. Ett säkert och väl fungerande utbyte av information är en nödvändighet för att med- borgarna ska få goda insatser i ett komplext system med många in- blandade aktörer. Tillgång till nya informationstjänster har en stor potential att göra patienter långt mer delaktiga i sin vård. Ändamåls- enliga och användbara informationssystem är också en förutsättning för att professionerna ska kunna använda sin kompetens och sin tid på det mest effektiva sättet. Funktionella informationssystem är en avgörande faktor för att vården ska kunna hantera framtidens ut maningar.

Kommittén anser att ett gott integritetsskydd också är en nöd- vändig faktor för att åstadkomma en god och säker hälso- och sjuk- vård.

Det finns integritetsrisker förknippade med den digitala hante- ringen av personuppgifter inom hälso- och sjukvården. Det är nöd- vändigt att utforma informationsutbytet inom och mellan vårdgivare på ett sådant sätt att det kan göras på ett säkert sätt. Vården måste såväl kunna uppfylla de krav på kvalitet som ställs på de medicinska insatserna som de som ställs på informationshanteringen.

Ökad kunskap, ledning och styrning ifråga om möjligheterna att hantera och utbyta information har stor betydelse för målsättningen att skapa en mer säker, ändamålsenlig och sammanhållen informa- tionshantering inom hälso- och sjukvården. Enligt utredningen om

Kommitténs sammantagna bedömning

SOU 2016:41

rätt information i vård och omsorg31 utgör okunskap om lagstift- ningens möjligheter och avsaknad av aktiv rättstillämpning från vårdgivarnas sida en del av problemen med informationshanteringen i hälso- och sjukvården. Detta bekräftas av SLIT-rapporten 2015 som redogör för att det fortfarande återstår anpassning av system, regler och rutiner samt utbildning av personal för att uppfylla patientdata- lagens krav.

Kommittén anser att det är anmärkningsvärt att lagen ännu inte implementerats fullt ut och att Datainspektionen flera år efter patientdatalagens ikraftträdande, har hittat allvarliga och systema- tiska brister även hos stora och resursstarka vårdgivare.

Sammanfattningsvis konstaterar kommittén att risker uppstår i samband med informationshantering inom hälso- och sjukvården till följd av

•bristande ledning och ansvarstagande över informationssystemen och de personuppgifter som hanteras i dessa,

•komplexa miljöer med många olika system för hantering av infor- mation,

•brist på gemensamma lösningar, t.ex. gemensam infrastruktur,

•bristande regelefterlevnad,

•bristande kunskaper hos både personal och ledning samt

•bristande informationssäkerhet.

I hälso- och sjukvården hanteras stora mängder känslig information om i stort sett hela befolkningen. Effekten av de brister vid han teringen som iakttagits kan vara stora för enskilda individer och för hela befolkningen. Flera aktörer uppfyller ännu flera år efter att patientdatalagen trätt i kraft inte de krav på säkerhet som måste ställas vid hantering av känsliga personuppgifter. Mot denna bak- grund bedömer kommittén att det föreligger allvarliga risker för den personliga integriteten i samband med hantering av personuppgifter inom hälso- och sjukvården.

31 SOU 2014:23, s. 121 och s. 218 i bilaga 4.

SOU 2016:41

Kommitténs sammantagna bedömning

Välfärdsteknik och digitala tjänster inom socialtjänsten

Användning av olika digitala och tekniska lösningar i socialtjänsten såsom kameraövervakning, GPS-sändare och sensorer m.m. inne fattar hantering av mycket närgångna och känsliga uppgifter om en- skilda personer med stort hjälpbehov. Socialtjänsten berör stora delar av befolkningen. Det finns oklarheter i lagstiftningen om på vilket sätt personer med nedsatt beslutsförmåga kan erbjudas tjänster med hjälp av välfärdsteknik. Det finns också risker för bristande informa- tionssäkerhet och bristande ansvarstagande för hur uppgifter han teras. Kommittén bedömer sammantaget att det föreligger allvarliga risker för den personliga integriteten i samband med hantering av personuppgifter inom socialtjänstens användning av välfärdsteknik.

3.7.4Forskning och statistik (kapitel 10)

Den övergripande bilden av området är att svenska myndigheter för- fogar över ett betydande antal databaser för forsknings- och statistik ändamål som tillsammans täcker hela landets totala befolkning. På så sätt utmärker sig Sverige – det finns inte många andra länder som kan jämföra sig med oss när det gäller möjligheten för det allmänna att undersöka sina invånares liv.

Det finns både inom forskningen och inom statistikverksam heten ett stort intresse för att dra nytta av att allt mer data genereras om enskilda och att det samtidigt har blivit möjligt att sammanföra och analysera data från varierande datakällor.

Inom forskningen rör det sig ofta om stora samlingar uppgifter som kan vara synnerligen integritetskänsliga. Inte sällan får upp gifterna hanteras utan information till den enskilde och utan sam- tycke från denne. Den enskilde har i dessa fall små möjligheter att påverka hur uppgifterna används. De samtycken som inhämtas kan ibland vara mycket breda och endast ge den enskilde en diffus upp- fattning om hur uppgifterna faktiskt kan komma att hanteras. Upp- gifterna kan också komma att spridas utan den enskildes vetskap. Vidare är det många olika huvudmän med varierande kunskap om integritetsskydd som bedriver forskning. Tillsynen visar också på vissa återkommande brister i hanteringen av personuppgifter inom forskningsprojekt. Sammantaget anser kommittén därför att han tering av integritetskänsliga personuppgifter för forskningsändamål

Kommitténs sammantagna bedömning

SOU 2016:41

innebär en allvarlig risk för den personliga integriteten, särskilt när uppgifterna hanteras utan stöd av samtycken eller med stöd av sam- tycken som är brett formulerade eller som lämnats tidigare i livet.

Även inom den statliga statistikverksamheten rör det sig ofta om stora samlingar uppgifter som kan vara integritetskänsliga. Inte sällan får uppgifterna hanteras utan information till den enskilde och utan samtycke från denne. Den enskilde har i dessa fall inga möjligheter att påverka hur uppgifterna används. Officiell statistik produceras av en rad olika statliga myndigheter, vilka måste kunna skilja mellan han tering av uppgifter i myndighetens kärnverksamhet, och hanteringen inom myndighetens statistikverksamhet. Landets största och käns ligaste statistikdatabaser finns emellertid hos två statliga myndigheter: SCB och Socialstyrelsen. Hos dessa två finns tämligen goda förutsätt- ningar att kontrollera hur uppgifterna lagras, lämnas ut och används. Det finns också särskild lagstiftning för den statistikrelaterade han teringen av personuppgifter hos dessa två och hos övriga statistik ansvariga myndigheter. Det saknas tillsynsrapporter som vittnar om brister i samband med statistikverksamhet hos någon statlig myndighet när det gäller integritetsskyddet. Sammantaget anser kommittén att statens hantering av integritetskänsliga personuppgifter för statistik ändamål innebär en viss risk för den personliga integriteten.

Samtidigt måste beaktas, beträffande såväl forskning som den statliga statistikverksamheten, att resultaten av dessa verksamheter bidrar med viktiga värden inom en rad olika samhällsområden. Verk- samheterna är ur ett samhällsperspektiv mycket viktiga för att kunna planera och utvärdera reformer, för att skapa transparens i samhälls- styret och för att ge bättre underlag för analys, debatt och beslut.

3.7.5E-förvaltning (kapitel 11)

Digitaliseringen i den offentliga förvaltningen har redan skapat be tydande värden i form av bättre service till medborgarna och en effektivare förvaltning. Nyttoeffekten av de olika företeelserna i e -förvaltningen varierar emellertid till art och omfång. Det finns även stora variationer i riskerna för den personliga integriteten som företeelserna innebär.

SOU 2016:41

Kommitténs sammantagna bedömning

Inom såväl statlig som kommunal förvaltning hanterar myndig heterna ett stort antal uppgifter om enskilda. Många gånger rör det sig om uppgifter som är känsliga i personuppgiftslagens mening, t.ex. om hälsa, eller som på annat sätt är närgångna och därmed integritets- känsliga, t.ex. uppgifter om enskildas inkomster, sociala problem, skuldsättningar och familjeförhållanden.

Oftast har de enskilda inget inflytande över myndigheternas han- tering – den görs i regel utan deras samtycke. Det innebär att det vilar ett särskilt ansvar på det allmänna att se till att uppgifter bara hanteras när det verkligen är nödvändigt för att förvaltningen ska kunna utföra sitt uppdrag och att se till att hanteringen är så säker som möjligt.

Teknikutvecklingen gör det möjligt för den offentliga förvalt- ningen att utveckla och effektivisera sin hantering av personuppgifter. Det innebär för det första en möjlighet att öka spridningen och vidare- användningen av uppgifter, dvs. att öka hanteringen rent generellt. Men för det andra innebär utvecklingen också en möjlighet att skydda uppgifterna på ett bättre sätt genom att använda tekniker som stärker den personliga integriteten, t.ex. anonymisering.32 Dessa två möjlig heter går i praktiken ofta att förverkliga samtidigt.

En generell iakttagelse som kommittén gör, är dock att myndig heter och regeringen fokuserar sitt utvecklings- och författnings arbete på den första möjligheten, medan man arbetar betydligt mindre

på den andra. Det innebär att offentlig sektor riskerar att bygga in egenskaper i system, arbetsformer och i författningar, som kan bli mycket svåra och dyra att ändra på, om följderna för den personliga integriteten visar sig bli allvarliga.

Informationshantering inom och mellan olika myndigheter

Myndigheterna hanterar i dag fler uppgifter om enskilda än någonsin tidigare. Det finns i dag teknik som gör det enkelt att sprida, vidare- använda och sambearbeta uppgifter, såväl inom en myndighet som myndigheter emellan, eller mellan myndighet och enskilda.

Redan komplexiteten och de tekniska utmaningarna i några av de system som byggts upp för att dela information, kan innebära att utvecklingsresurserna används enbart åt funktionalitet och inte till att analysera frågor som är av betydelse för integritetsskyddet. Det

32 Se vidare i bilaga 4 om integritetsstärkande tekniker.

Kommitténs sammantagna bedömning

SOU 2016:41

förekommer att frågor om t.ex. personuppgiftsansvar, behörighets- tilldelning och förenlighet med registerförfattningar behandlas långt senare i utvecklingsprocessen – först när systemet tagits i skarp drift eller inte alls. Anmärkningsvärt är också att det i dessa sammanhang kan finnas brister i viljan hos myndigheter att ta ansvar för både han- teringen av och säkerheten för uppgifter om enskilda personer.

Faktorer som i detta sammanhang är av betydelse för risken för den personliga integriteten, är att det hos vissa myndigheter finns databaser som omfattar hela eller en stor del av befolkningen med uppgifter som kan vara mycket integritetskänsliga. Uppgifter kan spridas till handläggare, inom den egna myndigheten eller på en annan myndighet, som egentligen inte behöver kunna ta del av upp- gifterna för att utföra sitt arbete. Enskilda kan i regel inte motsätta sig att deras uppgifter hanteras av myndigheterna. Vi anser därför att den ökade informationsdelningen inom och mellan myndigheter innebär en påtaglig risk för den personliga integriteten.

Samtidigt måste också beaktas att det finns en stor potential för att dessa företeelser både kan användas för att ge bättre service till allmänheten och för att effektivisera förvaltningen.

Informationsutbyte med enskilda

När det gäller e-tjänster som direkt vänder sig till enskilda, exempel- vis s.k. egna utrymmen hos myndigheterna, anser kommittén att det finns en viss risk för den personliga integriteten. Faktorer som här är av betydelse för risken för den personliga integriteten, består främst i oklarheter kring personuppgiftsansvaret och i att e-tjänsterna kan ges en teknisk utformning som inte ger ett tillräckligt gott skydd för uppgifterna. Uppgifter kan spridas av misstag eller efter ett antago- nistiskt angrepp (hacker-attack) riktat mot myndigheten.

Samtidigt måste också beaktas att det finns en tydlig potential för att sådana tjänster kan vara till stor och direkt nytta för enskilda per- soner.

Emellertid har vi noterat att myndigheter när det gäller vissa före- teelser har en benägenhet att lägga över personuppgiftsansvaret på den enskilde. Det gäller till exempel möjligheten att använda sms- tjänster eller e-post i kontakten med en myndighet. Det innebär att myndigheten inte fullt ut tar ansvar för att uppgifterna hanteras bara

SOU 2016:41

Kommitténs sammantagna bedömning

för de avsedda ändamålen och på ett tillräckligt säkert sätt. Den enskilde förväntas ta ansvar för en hantering som de flesta inte för- mår överblicka i sin helhet. När sådana försök till förskjutning av ansvaret förekommer, kan det enligt kommitténs mening medföra att risken potentiellt ökar för den personliga integriteten.

Myndigheter med uppgifter i molnet och bristen på beställarkompetens

Vi har i avsnitt 21.1 om molntjänster gått igenom både risker och för- delar med användningen av molntjänster generellt. Dessa gäller i högsta grad även för myndigheter. Faktorer som för myndigheter är av särskild betydelse för risken för den personliga integriteten, är att myndigheterna kan hantera ett stort antal personuppgifter som kan vara mycket integritetskänsliga, ingå i allmänna handlingar och även omfattas av sekretess. Vidare måste myndigheter veta hur relevanta register- och arkivförfattningar ska tillämpas. Även andra integritets skyddande regler kan vara av betydelse för myndigheterna, som ex- empelvis säkerhetsskyddslagen och Myndighetens för samhällsskydd och beredskap föreskrifter om informationssäkerhet hos statliga myndigheter. Många små myndigheter saknar kompetens att välja rätt slags molntjänst som fungerar juridiskt och säkerhetsmässigt för just den aktuella verksamheten. Vi anser att dessa faktorer samman- tagna medför att det för myndigheter finns allvarliga risker med molntjänster, i synnerhet i s.k. publika moln (uttrycket förklaras när- mare i avsnitt 21.1 om molntjänster).

Samtidigt måste också beaktas att det finns en stor potential för att effektivisera förvaltningen med hjälp av molntjänster, dvs. genom att låta företag lagra och hantera myndigheters data.33

Rent generellt för alla slags tjänster inom e-förvaltningen anser vi att det innebär en påtaglig risk för den personliga integriteten, att det alltjämt konstateras stora bister i myndigheters kompetens avseende juridik, informationssäkerhet och kravställning, samtidigt som myndigheterna förväntas börja använda och utveckla nya system och tjänster.

33 Pensionsmyndigheten utvecklar i en nyligen utgiven rapport de potentiella fördelarna för statliga myndigheter med molntjänster, se Molntjänster i staten, En ny generation av out sourcing, Pensionsmyndigheten, 2015.

Kommitténs sammantagna bedömning

SOU 2016:41

Myndigheter i sociala medier och med gilla-knappar på webben

Faktorer som i detta sammanhang är av betydelse för risken för den personliga integriteten, är att det finns myndigheter som i förhållande till sociala medier präglas av ett visst mått av naivitet. Myndigheter inser inte alltid att den i onödan kan hjälpa sociala medier, deras sam- arbetsparter eller företagen bakom sökmotorerna, att kartlägga vad allmänheten gör på nätet. När myndighetens kunskap om detta är be- gränsad, får besökarna på webbplatsen naturligtvis inte heller tillräck- ligt med information om att uppgifter om deras aktiviteter på nätet kommer att lämnas ut till företag i tredje land för andra ändamål än att möjliggöra deras besök på myndighetens webbplats. Myndigheternas användning av tjänster från sociala medier och sökmotorföretagen (t.ex. att ha myndighetskonton eller gilla-knappar på den egna webb- platsen), kan innebära att integritetskänsliga personuppgifter lämnas ut till företag i tredje land, även om detta troligen bara görs undan- tagsvis. Sammanfattningsvis anser vi att myndigheternas användning av tjänster från sociala medier och sökmotorföretagen innebär en viss risk för den personliga integriteten.

Samtidigt är det viktigt att myndigheter kan använda sig av olika media och metoder för att informera brett och effektivt om sina verksamheter, i synnerhet som verksamheterna kan medföra både rättigheter och skyldigheter för den enskilde.

PSI-lagstiftningen

I likhet med PSI-utredningen anser vi att insatserna för att öka sprid- ningen av information från myndigheter till resten av samhället, i kombination med en svårtillämpad och delvis oklar lagstiftning (i första hand PSI-lagstiftningen) innebär en påtaglig risk för den personliga integriteten.

Medborgarprofilering och kontroller på nätet

Av stort intresse för integritetsskyddet är sådan kontrollverksamhet hos myndigheter, som syftar till att i förväg bedöma vilken sannolik- het det finns för att en viss individ ska begå någon form av felaktig- het. Av betydelse för risken för den personliga integriteten är att

SOU 2016:41

Kommitténs sammantagna bedömning

denna kontrollverksamhet präglas av frånvaro av transparens i för- hållande till allmänheten. Detsamma gäller för myndigheters efter- forskande verksamhet på öppna eller slutna delar av nätet. Här finns också en rad juridiska, bl.a. grundlagsrelaterade, frågetecken, både avseende de interna kontrollerna och kontrollerna på nätet. Vi anser därför att dessa kontrollverksamheter innebär allvarliga risker för den personliga integritetet.

Samtidigt måste också beaktas att det är synnerligen angeläget, både ur det allmännas och ur medborgarnas perspektiv, att myndig- heterna på ett effektivt sätt kan använda sig av egna data och av nätet för att förebygga misstag och oegentligheter.

Informationssäkerhet

De brister i myndigheters informationssäkerhet som vid upprepade tillfällen har konstaterats av flera olika kontrollinstanser, måste sägas medföra en allvarlig risk för den personliga integriteten. Av betydelse i sammanhanget är förstås att myndigheterna hanterar en stor mängd uppgifter som kan vara både känsliga och närgångna och därmed synnerligen skyddsvärda. Brister i informationssäkerheten kan också rent generellt försämra allmänhetens tillit till den offentliga förvalt- ningen.

Kapitel 22, Informationssäkerhet och integritet, innehåller en redogörelse för informationssäkerhetens betydelse för skyddet av den personliga integriteten.

Brister i regelverket

Brister i regelverket för hantering av personuppgifter inom e-för- valtningen uppmärksammades redan år 2007 av Integritetsskydds- kommittén. Kommittén pekade på att det var en genomgående brist att konsekvenserna för den enskildes integritetsskydd inte hade analyserats och beaktats tillräckligt i arbetet, som under senare år har bedrivits för att underlätta myndigheters möjligheter att använda ny teknik och för att främja ett ökat informationsutbyte mellan myndig

Kommitténs sammantagna bedömning

SOU 2016:41

heter. I den mån överväganden av detta slag förekommit, menade kommittén att de inte dokumenterats tillräckligt i förarbetena till lagstiftningen.34

Även E-delegationen har i sitt slutbetänkande uppmärksammat att det finns brister i regleringen av förutsättningarna för en effektiv e -förvaltning och ett välavvägt integritetsskydd. E-delegationen be dömer att detta även påverkar enskildas tilltro till myndigheterna, vilket innebär att det är angeläget att regeringen har ett helhets perspektiv när resultaten av tillsatta utredningar bereds.35 Även Datainspektionen pekar i sina remissvar regelbundet på brister i nya författningsförslag när det gäller integritetsskyddet.36

Vår analys av e-förvaltningen utgår i detta delbetänkande från företeelser som kan ha betydelse för den personliga integriteteten, snarare än från det rättsliga skyddet på området. Emellertid har, som framgår ovan, andra granskningar konstaterat systematiska brister i såväl det befintliga regelverket som i de förslag till nya författningar som framförs på området. Ett genomtänkt regelverk kan bidra till att skydda den personliga integriteten, genom att tydligt peka ut ramar för vad myndigheterna får och ska göra med uppgifterna. Ett sådant regelverk kan också bidra till att myndigheterna känner sig trygga att utveckla nya e-tjänster inom lagstiftningens ramar. Kommittén be farar att bristerna i regelverket för e-förvaltningen kan medföra för- sämringar i integritetsskyddet.

Datainspektionens roll

Under arbetets gång har flera myndigheter efterlyst tydligare och mer konkret vägledning från Datainspektionen i frågor som rör e -förvaltning och integritetsskydd. Vi avser att återkomma till Data- inspektionens uppdrag i slutbetänkandet.

34 Integritetsskyddskommitténs delbetänkande Skyddet för den personliga integriteten – Kart läggning och analys, SOU 2007:22.

35 SOU 2015:66.

36 Se t.ex. Datainspektionens remissvar den 4 maj 2015 avseende SOU 2015:5, En ny svensk tullagstiftning, myndighetens dnr 404-2015.

SOU 2016:41

Kommitténs sammantagna bedömning

Sveriges världsledande roll

I regeringens digitala agenda och e-förvaltningsstrategi sägs att Sverige ska bli världsledande när det gäller digitalisering. Det finns dock inga uttalanden om att skyddet för den personliga integriteten också bör nå en liknande världsledande ställning. En sådan ambition för integritetsskyddet inom e-förvaltningen vore inte orimlig, efter- som det inte alls behöver innebära ett onödigt försvårande av utveck- ling av nya tjänster som förbättrar servicen till de enskilda och effek- tiviserar förvaltningen.

Samordning och styrning av utvecklingen

Sammanfattningsvis kan sägas att alla initiativ inom e-förvaltningen

– till nya arbetssätt, tillämpning av ny teknik eller ändringar i regel- verket – präglas av regeringens höga ambitioner för att påskynda ut- vecklingen. Samtidigt visar redan kommitténs översiktliga gransk- ning av integritetsrisker inom e-förvaltningen att det på flera punkter finns betydande brister när det gäller både integritetsskydd och in- formationssäkerhet. Det är också tydligt att det i dag inte finns någon aktör i offentlig sektor som både har övergripande kunskap om vad som händer inom området, och i realiteten utövar en över gripande styrning över e-förvaltningen. Som flera andra, exempelvis E-delegationen och Riksrevisionen, har påpekat, innebär avsaknaden av samordning och styrning en risk för att utvecklingen bromsas och inte uppnår de önskade service- och effektiviseringsnivåerna. Men det innebär också en allvarlig risk för att den personliga integriteten inte skyddas tillräckligt. Risken förstärks av att de satsningar reger- ingen nu gör för att förstärka samordning och styrning för att ut- veckla området, inte motsvaras av någon satsning för att förstärka integritetsskyddet inom e-förvaltningen, och inte heller innehåller några direktiv eller tankar kring hur både e-förvaltning och ett gott integritetsskydd ska utvecklas tillsammans i medborgarnas intresse.

Kommitténs sammantagna bedömning

SOU 2016:41

3.7.6Konsumentområdet (kapitel 12)

De senare årens teknikutveckling i kombination med nya använd- ningsområden och nya vanor, har inneburit att det genereras allt mer data om våra konsumtionsrelaterade beteenden.

Det är en allt mindre del av all data i världen som skrivs in eller på annat sätt medvetet genereras direkt av användarna. Mer och mer data genereras i stället rent maskinellt, utan mänsklig inblandning.

Utvecklingen har också inneburit att alla dessa uppgifter i större utsträckning faktiskt går att bearbeta och analysera samlat i realtid.

Den här utvecklingen kan självklart vara till nytta för den enskilde konsumenten på många sätt, men möjliggör samtidigt en allt mer omfattande kartläggning på individnivå. Kartläggningen ökar både på bredden och på djupet genom att fler och nya slags uppgifter sam- las in och samkörs.

Ett grundläggande problem är att enskilda användare – trots ett i många delar tydligt regelverk – inte informeras om den ökande han- teringen på ett heltäckande men ändå lättfattligt sätt. Därtill kom- mer att det rent allmänt finns en relativt låg medvetenhet i befolk- ningen om hur vardagsgöromål som inte uppfattas som ett uppgiftslämnande, faktiskt genererar elektroniska spår och hur dessa spår samlas in, sparas och används. Det finns inte heller någon större medvetenhet om att personuppgifter faktiskt är en värdefull handels vara, särskilt i tjänster som marknadsförs som ”gratis”.

Ett annat grundläggande problem är att uppgifter i allt större ut- sträckning börjar användas för andra ändamål än dem för vilka de ursprungligen samlades in, vilket brukar kallas för ”ändamåls glidning”. Det är inte förenligt med personuppgiftslagen, om det nya ändamålet är oförenligt med det ursprungliga. När ett stort antal i sig harmlösa uppgifter från olika sammanhang bearbetas och analyseras samlat, kan de tillsammans ge nya och tidigare oanade kunskaper om enskildas personligheter och användas för att göra antaganden om deras framtida beteende. Dessa nya kunskaper kan i sin tur väcka intresse för uppgifterna hos aktörer som exempelvis försäkrings bolag och kreditgivare.

Frågan om ändamålet med en hantering är nära förknippad med frågan om de samtycken som enskilda lämnar i olika sammanhang. Det sägs ibland vara den vanligaste lögnen på internet att svara ja på frågan om man läst och förstått företagets (dvs. webbplatsens, kund-

SOU 2016:41

Kommitténs sammantagna bedömning

klubbens, betalningsföretagets, appleverantörens) användarvillkor och därmed samtyckt till hur ens personuppgifter kommer han teras.37 De långa och invecklade användarvillkoren kan vara i stort sett omöjliga att förstå för gemene man, och särskilt för barn eller personer som har en funktionsnedsättning.

En viktig faktor i sammanhanget är de inblandade aktörernas in- tresse att samla in så mycket data som möjligt om användarna. Det finns i dag en allmänt spridd och mycket stark tro på att även upp gifter som i dagsläget egentligen inte kan användas på något vettigt sätt, i en snar framtid kan förvandlas till avgörande tillgångar, både rent affärsmässigt och för att lösa svåra problem i samhället. Det har uppstått nya affärsmodeller och nya aktörer som har personuppgifter som främsta eller enda handelsvara, som exempelvis datamäklare.

Intresset av att samla in så stora mängder uppgifter som möjligt är således mycket starkt. Det framstår därmed inte som sannolikt att aktörerna eller marknaden på eget initiativ skulle begränsa kartlägg- ningen av konsumenter och ge enskilda reell insyn i hur deras upp- gifter hanteras och ge dem möjlighet att påverka hanteringen.

En annan risk för konsumenter avser informationssäkerhet. Som framgått av detta avsnitt är det inte alltid som nya teknikanvändningar möjliggör ett tillräckligt starkt skydd för personuppgifterna.

Det finns emellertid vissa tecken på att allmänheten i samband med Edward Snowdens avslöjanden kan ha blivit något mer med veten när det gäller informationssäkerhetsfrågor och skyddet för de egna personuppgifterna i olika webbtjänster. Avslöjandena har även föranlett många tjänsteleverantörer att förbättra skyddet i sina tjäns- ter genom att exempelvis införa kryptering som bara kunden har nyckeln till.38

Men även om det finns enstaka, lovvärda initiativ från aktörerna till att stärka integritetsskyddet för konsumenter, är dessa inte till- räckliga om man betraktar den pågående utvecklingen i sin helhet. Det krävs mer systemövergripande och grundläggande åtgärder för att stärka skyddet – redan i dag och ännu mer i en snar framtid.

37 En studie från år 2008 visade att en genomsnittlig användare skulle behöva 244 timmar för att läsa igenom samtliga användarvillkor för de sajter hon eller han besökte under loppet av ett år. I USA har presidentens vetenskaps- och teknologiråd sammanfattat situationen med att det bara är i en fantasivärld som enskilda faktiskt läser och förstår villkoren och klickar i att de samtycker.

38 Norska Teknologirådets och Datatilsynets gemensamma rapport Personvern 2015 – tillstand og trender, januari 2015.

Kommitténs sammantagna bedömning

SOU 2016:41

Det kan också konstateras att flertalet företeelser som nämns i det här kapitlet inte har granskats ur ett integritetsskyddsperspektiv på senare år. De granskningar som görs av Post- och telestyrelsen (kakor) och av Datainspektionen (elektroniska betalningar och WiFi- tracking) är tillsynsaktiviteter riktade mot vissa specifika aktörer.

Konsumentverket omnämner i sin omvärldsrapport för år 2014 digitaliseringens påverkan på konsumenternas ställning, men har därutöver hittills inte varit aktivt när det gäller integritetsskydds frågor, t.ex. beträffande frågor om de sociala mediernas avtalsvillkor om personuppgifter.39

Det finns således i dagsläget ingen myndighet eller organisation som har en uppdaterad och allmän överblick över vilka företeelser som innebär risker för konsumenter, hur spridda företeelserna är, vilka aktörer de används av osv. och som därmed kan sägas ha en överblick över utvecklingen för konsumenters personliga integritet.

En tillkommande risk är att alla uppgifter som genereras av saker- nas internet, kan komma att begäras in av olika företag, som exempel vis försäkringsbolag. När de många och detaljerade uppgifterna väl finns, kommer de att attrahera många olika intressenter.

Det är redan i dag mycket svårt att som konsument använda sig av digitaliseringens och teknikutvecklingens alla fördelar utan att, mer eller mindre ofrivilligt, kartläggas på en detaljerad nivå. Det finns en överhängande risk för att det i framtiden kommer att bli ännu svårare.

Bristen på information, samtyckets urholkning, den stora sprid- ningen av uppgifter för nya ändamål och den ökade totala mängden av uppgifter om den enskilde, innebär att kommittén sammantaget anser att det finns allvarliga risker för konsumenters personliga in tegritet.

Samtidigt måste beaktas att utvecklingen för med sig stora för delar för den enskilde konsumenten, exempelvis i form av nya tjäns- ter, ökad tillgång till produkter samt större möjlighet till delaktighet och till att själv skapa tjänster och produkter. Utvecklingen visar också vissa tecken på att enskilda blivit mer medvetna och bättre på att tillvarata de möjligheter som faktiskt finns att vidta egna åtgärder för att skydda sin personliga integritet.

39 Konsumentverkets rapport 2014:13, Vår omvärld 2014 – rapport till regeringen 2014-11-30.

SOU 2016:41

Kommitténs sammantagna bedömning

3.7.7Sociala medier och e-post (kapitel 13)

En stor del av landets befolkning, särskilt yngre och kvinnor, använder dagligen sociala medier för att lagra och publicera en mycket stor mängd uppgifter och för att utbyta privat information med andra användare.

Sociala medier kan föra med sig många fördelar för de enskilda användarna, i form av exempelvis nya möjligheter till både kunskap och utbyte med andra. Ur ett integritetsskyddsperspektiv finns det emellertid även en rad risker med användningen av sociala medier.

Användarvillkor är ofta långa och krångligt skrivna. Även i de få fall då användaren faktiskt tagit del av villkoren, är dessa inte sällan så otydliga att många användare inte ens förstår vilka andra användare som kan ta del av uppgifterna han eller hon har publicerat på det sociala mediet, och än mindre för vilka egna ändamål som det sociala mediet kan använda sig av uppgifterna. Användarvillkoren är också ofta vaga när det gäller till vilka samarbetsparter det sociala mediet får sprida uppgifterna och hur dessa får vidareanvändas. Användar- villkoren kan också innehålla oklarheter beträffande hur länge upp- gifterna lagras i någon form hos det sociala mediet. Mot den bak- grunden kan det ofta vara mycket svårt för en enskild användare att bilda sig en egen uppfattning om vilka konsekvenser för den person- liga integriteten som användningen av det sociala mediet faktiskt innebär.

Särskilt allvarlig är den risken när det gäller unga, som i dag kan vilja lagra och publicera texter och bilder som de senare i livet skulle vilja radera från nätet. De kommer kanske inte att ha den möjlig heten, på grund av villkor som en gång har accepterats, eller på grund av att uppgifterna har spridits till tredje parter hos vilka varken användaren eller det sociala mediet har något som helst inflytande.

Ett specialfall av detta är situationen då uppgifter om mycket unga personer lagras eller publiceras av deras föräldrar. När barnen efter hand blir medvetna om hanteringen av uppgifter om dem, kom- mer det i de flesta fall vara omöjligt för dem att hindra eller ens över- blicka spridningen och användningen av uppgifterna.

Förutom att hanteringen är svår att överblicka utifrån användar- villkoren, ger villkoren ofta mycket fria händer åt det sociala mediet att använda sig av uppgifterna för egna ändamål. Särskilt när möjlig- het finns att tillföra andra stora mängder uppgifter till uppgifterna

Kommitténs sammantagna bedömning

SOU 2016:41

från det sociala mediet och sambearbeta dessa, blir det i praktiken omöjligt för användaren att i förväg veta för vilka ändamål upp gifterna kan komma att användas.

I och med att ny teknik utvecklas kommer alla uppgifter som lag- ras och publiceras i sociala medier att kunna användas för en allt mer detaljerad och närgången kartläggning bortom användarnas känne- dom eller kontroll.

Eftersom sociala medier oftast är baserade på molntjänster som hanterar uppgifterna utanför EES, finns det också en stor risk för att uppgifter om användarna hamnar i länder där lagstiftningen ger ett otillräckligt skydd. Det kan leda till att exempelvis underrättelse- tjänster eller andra myndigheter och organisationer utanför EES lag- ligen kan få åtkomst till uppgifterna för ändamål och på ett sätt som inte hade varit lagligt i Sverige eller i ett annat land inom EES.

Användningen av vissa sociala medier kan medföra att ett stort antal närgångna uppgifter om den enskilde oavsiktligen exponeras för andra användare. Vidare förekommer det att sociala medier använder uppgifterna för egna ändamål och sprider dem vidare till andra företag. Vanligtvis är det också svårt för användarna att få klar- het i vilken hantering som kan förekomma, när användarvillkoren väl har godkänts. Den enskildes valmöjlighet är ofta begränsad till att antingen godkänna samtliga villkor, eller att avböja och därmed helt ställa sig utanför det sociala mediet. Sammantaget anser kommittén att användningen av sociala medier som har de nyss nämnda egen skaperna innebär en allvarlig risk för den personliga integriteten.

Samtidigt måste också beaktas att även sådana sociala medier kan medföra en mycket stor nytta för den enskilde och för samhället i stort, och att många tjänster är mycket populära bland användarna.

En annan risk för den enskildes personliga integritet ligger i vad användare av sociala medier kan skriva och publicera om andra per- soner. Genom internet och annan elektronisk kommunikation har möjligheterna för enskilda att sprida integritetskränkande uppgifter om andra ökat väsentligt. Nya skyddsintressen har därför upp kommit och medfört ett väsentligt ökat behov av ett bättre utformat straffrättsligt skydd för privatlivet och den personliga integriteten. Med den motiveringen föreslås i betänkandet Integritet och straff-

SOU 2016:41

Kommitténs sammantagna bedömning

skydd40 en ny straffbestämmelse om s.k. olaga integritetsintrång som tar sikte på kränkningar som enskilda personer begår mot andra en- skilda.

Om oskyddad e-post används för att skicka integritetskänsliga uppgifter, innebär det att uppgifterna kan användas för egna ändamål av de företag som vidarebefordrar meddelandet, även om det görs i strid mot lag. Vidare kan antagonistiska aktörer få åtkomst till upp- gifterna genom t.ex. avlyssning. Många organisationer har policyer som ska begränsa möjligheterna att i mejl skicka integritetskänsliga uppgifter om enskilda, men dessa policyer är inte sällan otydliga och dessutom är det svårt att kontrollera hur de följs. Sammantaget be- dömer kommittén därför att användning av e-post innebär en påtag- lig risk för den personliga integriteten.

3.7.8Försäkringsverksamhet (kapitel 14)

Numera hanteras en stor del av försäkringsbolagens verksamhet med hjälp av informationsteknik. Den ökade mängden information som finns tillgänglig om enskilda personer ger försäkringsföretagen möjlighet att få bättre underlag för riskbedömning, skadebedömning och för utredning av oklara försäkringsfall. Företeelsen att med hjälp av sensorer mäta rörelse och aktivitet i bilar och hos personer ger möjlighet att göra riskbedömningen säkrare och mer individanpassad. Detta kan vara både en fördel och en nackdel beroende på hur man ser på hur risken ska fördelas i ett större kollektiv.

Den enskildes måste ge sitt samtycke för att ett försäkrings företag ska få hämta in uppgifter om dennes hälsa från hälso- och sjukvården. Ett samtycke kan dock lämnas utan att den enskilde har tillräcklig insikt om vad samtycket innebär. Försäkringstagaren saknar dessutom i praktiken någon reell möjlighet att vägra lämna samtycke om han eller hon vill ha det aktuella försäkringsskyddet. Om det är oklart vilken ytterligare information som försäkrings företagen har tillgång till blir det än svårare för den enskilde att förstå konsekvenserna av ett lämnat samtycke.

De nya möjligheterna att genom olika former av digitala egen- mätningar lämna underlag för beräkning av försäkringspremier, t.ex. för fordonsförsäkring och personförsäkring ger upphov till nya

40 SOU 2016:7.

Kommitténs sammantagna bedömning

SOU 2016:41

integritetsrisker. Uppgifterna måste hanteras säkert i varje led för att det inte ska uppstå risker för obehörig spridning. Det innebär också ett stort ansvar för bolagen att inte hantera mer känsliga uppgifter än nödvändigt, eftersom tekniken i sig innefattar stora möjligheter till kartläggning av enskilda individers rörelsemönster och livsstil m.m.

När enskilda erbjuds nya möjligheter att få tillgång till uppgifter om sin hälsa genom att t.ex. kunna ta del av sin patientjournal via internet eller genom att samla sådan information på olika hälso konton uppkommer risker för att tredjepartsintressenter vill ta del av denna information. Försäkringsföretag kan komma att vilja ta del av uppgifter om kundernas hälsa digitalt genom någon form av app knuten till ett hälsokonto, i stället för att få utskrifter ur patient journalen. En sådan hantering förutsätter höga krav på säkerhet vid överföring av uppgifterna och ställer andra krav på den enskilde när det gäller insikter om vad överföringen av uppgifterna kan få för kon- sekvenser. Detta ställer i sin tur krav på företagen när det gäller ansvar för hanteringen och för information till kunderna. De risker som hör samman med användning av molntjänster uppstår också i samband med att personuppgifter kommer att behandlas av de företag som erbjuder app-tjänsterna, se vidare avsnittet om molntjänster (21.1).

Av betydelse i detta sammanhang är också att det måste finns ända målsenliga rutiner som begränsar vilka anställda inom försäkrings företagen som ska ha tillgång till olika uppgifter om enskilda.

Den stora mängden uppgifter som finns hos försäkringsföretagen representerar ett betydande ekonomiskt värde och skulle kunna samköras med annan information. Det kan därför finnas en risk för handel med uppgifterna. Försäkringsföretagen omfattas inte av några generella regler om tystnadsplikt. Mot denna bakgrund be dömer kommittén att det i dag finns påtagliga risker för den person- liga in tegriteten i samband med försäkringsföretagens verksamhet.

Kommittén anser därtill att det finns särskild anledning att följa försäkringsbranschens framtida inriktning. Förutom den tekniska utvecklingen i stort, i kombination med en tänkbar förändring av branschens policyer och arbetssätt, ser kommittén en utveckling, där helt nya informationskällor uppstår, ibland som en följd av poten tiella försäkringstagares egna åtgärder och tillgång till delvis ny in- formation. Den här informationen är många gånger av stort intresse för försäkringsbolagen, samtidigt som den kan vara av mycket käns-

SOU 2016:41

Kommitténs sammantagna bedömning

lig natur för den enskilde. Integritetskommittén ser en risk att den här utvecklingen ytterligare rubbar balansen mellan den enskilde för- säkringstagaren och dennes försäkringsgivare.

Med tanke på den stora potentiella ökningen av nya informa- tionskällor med känslig information och den tekniska utvecklingen i stort, bedömer kommittén att den framtida hanteringen av person- uppgifter inom försäkringsverksamheten kan innefatta allvarliga risker för den personliga integriteten.

3.7.9Bank- och kreditmarknaden (kapitel 15)

Numera hanteras en stor del av bankernas och kreditmarknads företagens verksamhet med hjälp av informationsteknik. Använd- ningen av sådan teknik har också gett dessa företag tillgång till nya typer av uppgifter, som kan användas vid exempelvis kredit prövningar. Detta är på många sätt en positiv utveckling och har bl.a. lett till effektivitetsvinster. Utvecklingen har dessutom medfört en rad förbättringar för kunderna, inte minst när det gäller tillgänglig- het. Ett exempel på detta är möjligheterna att använda appar och internetbank för många transaktioner.

Samtidigt gäller de uppgifter som bankerna och kreditmarknads- bolagen behandlar i stor utsträckning enskildas personliga och eko- nomiska förhållanden. Sådana uppgifter är normalt att anse som integritetskänsliga. Ett uttryck för detta är att uppgifterna omfattas av tystnadsplikt eller sekretess. Den information om enskilda som finns hos dessa banker och kreditmarknadsbolag ger stora möjlig heter att göra en detaljerad kartläggning av en persons liv. Med utgångspunkt från en individs inköpsmönster kan det vara möjligt att dra slutsatser om dennes personlighet. Det har också visat sig att det även i anonymiserade uppgiftssamlingar kan vara lätt att identi- fiera enskilda individer.

I detta kapitel har vi analyserat risker för integritetsintrång som hör ihop med bankers och kreditmarknadsbolags behandling av personuppgifter i samband med:

––kreditprövning och rådgivning,

––enskildas användning av kreditkort och transaktioner på internet, och

––i samband med rapporteringskrav.

Kommitténs sammantagna bedömning

SOU 2016:41

Kreditprövning och rådgivning

Möjligheten att basera kreditprövning på information som normalt inte behandlas hos kreditupplysningsbolagen, exempelvis uppgifter om inköpsmönster, ökar risken för att prövningen blir mindre trans- parent och för att ovidkommande faktorer beaktas. Om kreditgivare samlar in uppgifter om sina kunder utan att kunderna informeras om vilka uppgifter som behandlas, förlorar den enskilde också möjlig heten att kontrollera uppgifterna och att begära rättelse av eventuella felaktiga uppgifter. De s.k. svarta listor som uppges ha förekommit hos en av storbankerna illustrerar detta problem.

Den stora mängden uppgifter som finns hos banker och kredit- marknadsbolag representerar dessutom ett betydande ekonomiskt värde, och kan samköras med annan information. Det finns av dessa skäl en risk för handel med uppgifterna, trots sekretess. Som fram- gått ovan har det också förekommit att banker har fört vidare upp- gifter om kunder som nekats lån.

Av betydelse i detta sammanhang är också att det måste finns ändamålsenliga rutiner som begränsar vilka inom banken eller kredit marknadsföretaget som ska ha tillgång till olika uppgifter. Huvud regeln bör vara att endast den som behöver uppgifterna i sitt arbete ska ha tillgång till dem. Såvitt framkommit tillämpar banker och kreditgivare allt oftare olika former av åtkomstkontroll inom verk- samheten.

I sin kreditgivnings- och rådgivningsverksamhet behandlar banker och kreditgivare en stor mängd uppgifter om en stor del av befolk- ningen. Uppgifter som sammantaget kan upplevas som närgångna. Det är svårt för en enskild person att veta vilka uppgifter som ligger till grund för en kreditbedömning. Uppgifterna har ett ekonomiskt värde. Kommittén bedömer därför att det föreligger påtagliga risker för den personliga integriteten i samband med kreditprövning och rådgivning.

Kreditkort och transaktioner på internet

När det gäller kreditkort och transaktioner på internet konstaterar kommittén att de digitala spår som skapas genom sådana transaktioner gör det möjligt att kartlägga enskilda personers konsumtionsmönster på ett närgånget sätt. Sådana uppgifter har ett högt kommersiellt värde

SOU 2016:41

Kommitténs sammantagna bedömning

och kan komma att användas på sätt som den enskilde inte kan förutse. När det gäller användningen av banktjänster som internetbank och olika appar konstaterar kommittén att det är nödvändigt med hög säkerhet vid sådan behandling på grund av risken för att närgångna uppgifter blir åtkomliga för obehöriga. Digitala banktjänster är också förknippade med risken för den enskilde att bli utsatt för identitets- stölder.

Behandling av personuppgifter i samband med användning av kreditkort och andra transaktioner på internet gör det möjligt att kart lägga enskilda personers konsumtionsmönster. Det handlar om stora mängder uppgifter om i stort sett alla människor. Företeelsen är för- knippad med risker för bedrägerier och identitetsstölder. Kommittén bedömer därför att det finns allvarliga risker för integritetsintrång för- knippade med användningen av kreditkort och andra digitala trans aktioner.

Rapporteringskrav

Det bör vidare understrykas att bankernas och kreditmarknads bolagen har fått en roll i arbetet mot bl.a. penningtvätt och mot finan siering av terrorism som innebär ett stort avsteg från principen att endast myndigheter får behandla uppgifter om lagöverträdelser som innefattar brott. I arbetet mot sådan brottslighet finns också en risk att helt oskyldiga personer placeras på olika former av sanktionslistor, vilket kan få stora konsekvenser för den enskilde. Den enskilde har i praktiken inte heller någon möjlighet att påverka sådana åtgärder.

Vid spridning av uppgifter till andra länder tillkommer problemet att det i praktiken inte längre går att kontrollera hur uppgifterna används och i övrigt behandlas. De amerikanska myndigheternas behandling av Swift-transaktionerna är ett exempel på detta.

Riskerna i samband med hantering av personuppgifter på grund av olika rapporteringskrav består bl.a. i att uppgiftssamlandet kan påverka helt oskyldiga. Det kan vara svårt att kontrollera uppgifter som lämnats ut internationellt. Men området är reglerat och rimligen drabbas bara ett begränsat antal personer. Kommittén bedömer där- för att det finns påtagliga risker för den personliga integriteten i sam- band med att banker och kreditmarknadsbolag lämnar ut person- uppgifter på grund av olika rapporteringskrav.

Kommitténs sammantagna bedömning

SOU 2016:41

3.7.10Kronofogdemyndighetens verksamhet, kreditupplysning och inkasso (kapitel 16)

I detta kapitel har kommittén analyserat integritetsrisker i samband med Kronofogdemyndighetens, kreditupplysningsföretagens och inkassobolagens verksamhet.

Kronofogdemyndigheten behandlar en stor mängd uppgifter om många enskildas personliga och ekonomiska förhållanden. Det är där- för nödvändigt att den interna åtkomsten till uppgifterna begränsas på lämpligt sätt. Myndigheten lämnar dagligen ut information om för- ändringar i utsöknings- och indrivningsdatabaserna samt om gälde närernas totala skuldsaldo i elektronisk form till kreditupplysnings företagen. Uppgifterna måste skyddas från en större spridning än vad som är motiverad samt att inte vilka aktörer som helst får tillgång till uppgifterna i digital form. Kronofogdemyndigheten behandlar käns- liga uppgifter om gäldenärer, men behandlar inte uppgifter om hela befolkningen. Kommittén har inte fått information om stora brister i myndighetens hantering av personuppgifter. Mot den bakgrunden bedömer kommittén att det finns vissa risker den personliga integrite- ten i kronofogdemyndighetens verksamhet.

Kreditupplysningsföretagens verksamhet bygger på att de samlar in stora mängder känsliga uppgifter om hela befolkningen som på olika sätt kan ha betydelse vid kreditgivning. Det ligger i sakens natur att det finns en risk att de samlar in fler uppgifter än vad som verkligen är motiverat. Det finns också en risk att vissa insamlade uppgifter inte är korrekta och aktuella samt för att de lagras längre än nöd vändigt.

Den enskilde har i vart fall i teorin vissa möjligheter att påverka kreditupplysningsföretagens utlämnande av uppgifter, genom att undvika lån och krediter, men saknar i princip möjlighet att påverka vilka uppgifter som samlas in.

För att minimera riskerna med kreditupplysningsföretagens verk samhet innehåller lagstiftningen olika typer av integritetsskyddande regler. Ett exempel på detta är kravet på att uppgifter som är oriktiga eller missvisande ska rättas, kompletteras eller uteslutas ur registret. Ett annat exempel är kravet på att obehörig tillgång till registren ska motverkas. I detta ligger bl.a. att företagen måste kontrollera att mottagaren har ett legitimt behov av uppgifterna och att utlämnan- det görs på ett säkert sätt. Även kravet på att en kreditupplysnings-

SOU 2016:41

Kommitténs sammantagna bedömning

kopia ska lämnas till den som upplysningarna avser är viktigt för att minimera risken för integritetsintrång. Tack vare denna kopia får den enskilde bl.a. en möjlighet att kontrollera att de uppgifter som läm- nas är korrekta och fullständiga, och att bl.a. kravet på legitimt behov följs.

För närvarande gäller de integritetsskyddande bestämmelserna i kreditupplysningslagen inte vid vissa former av offentliggörande enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Det gäller t.ex. utlämnanden av uppgifter på tekniska upptagningar, t.ex. på usb- minnen. Sådana utlämnanden innebär en avsevärd risk från integritets- synpunkt. Det är angeläget att de integritetsskyddande bestämmel- serna görs tillämpliga även på sådana utlämnanden. Mot bakgrund av de ovannämnda riskerna i samband med hantering av känsliga upp gifter om hela befolkningen bedömer kommittén att det föreligger all- varliga risker den personliga integriteten i kreditupplysningsföretagens verksamhet. Kommittén noterar dock att frågan har utretts och för närvarande bereds i regeringskanslitet.

Även inkassobolag behandlar stora mängder uppgifter som är känsliga från integritetssynpunkt. De behandlar dock inte uppgifter om lika många personer som kreditupplysningsföretagen. Det finns dock också i sådan verksamhet en risk att behandlingen avser fler uppgifter än nödvändigt, att vissa uppgifter är felaktiga eller inaktuella och, framför allt, att uppgifterna sprids på ett oönskat sätt. I det sist- nämnda ligger bl.a. att det måste säkerställas att uppgifterna inte skickas till, eller är åtkomliga för, utomstående. I denna verksamhet är därför personuppgiftslagens krav på säkerhetsåtgärder – och Data inspektionens tillsynsverksamhet – av särskild betydelse.

Kommittén bedömer att det föreligger vissa risker för intrång i den enskildes integritet på grund av behandling av personuppgifter i inkassobolagens verksamhet.

3.7.11Domstolarnas verksamhet (kapitel 17)

I domstolarna behandlas en stor mängd uppgifter som rör enskildas personliga förhållanden. I många mål- och ärendetyper är det fråga om känsliga personuppgifter. Det ligger dessutom i sakens natur att domstolarna har mycket begränsade möjligheter att själva avgöra vilka personuppgifter som ska behandlas där. Om en part ger in ett

Kommitténs sammantagna bedömning

SOU 2016:41

dokument till domstolen, är domstolen – oavsett handlingens inne- håll – i regel skyldig att registrera handlingen och kommunicera den med motparten. Även den enskilde har i många fall begränsade möj- ligheter att påverka vilka personuppgifter som behandlas i domstolen.

Det finns ett starkt intresse av att säkerställa att allmänheten har goda möjligheter till insyn i domstolarnas rättsvårdande och rätts- skipande verksamhet. Medborgarna tycks också förvänta sig en enkel tillgänglighet, på samma sätt som när det gäller kontakter med andra aktörer i samhället. Det finns även ett starkt intresse av att dom stolarnas verksamhet bedrivs effektivt, så att domar och beslut kan meddelas inom rimlig tid. Allt detta förutsätter bl.a. en ändamåls enlig användning av modern teknik.

I detta kapitel om integritetsrisker som hör ihop med domstolarnas hantering av personuppgifter har kommittén framför allt behandlat riskerna med verksamhetsregister, besöksterminaler, filmade förhör, informationsutbyte med andra myndigheter och utlämnande av upp- gifter på medium för automatiserad behandling.

Verksamhetsregister

En risk med domstolarnas verksamhetsregister är att fler uppgifter än nödvändig behandlas i registren och att känsliga personuppgifter behandlas på ett felaktigt sätt. Från och med januari 2016 finns dock en lag som reglerar domstolarnas behandling av personuppgifter. Kommittén bedömer att det finns en viss risk för att behandling av personuppgifter i domstolarnas verksamhetsregister leder till in- trång i den personliga integriteten.

Ljud- och bildupptagningar

Risken med ljud- och bildupptagningar i domstol är att känsliga upp- gifter sprids till obehöriga. Om en sådan upptagning lämnas ut i strid mot den sekretess som gäller, skulle uppgifterna enkelt kunna spridas

på internet. Det finns också risker för att personal som inte är be hörig

tar del av upptagningarna av nyfikenhet. Det finns dock sekretess bestämmelser som skyddar uppgifterna. I domstolsdatalagen finns bestämmelser om att tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbets-

SOU 2016:41

Kommitténs sammantagna bedömning

uppgifter. Kommittén bedömer att det finns en viss risk för intrång i den personliga integriteten i samband med ljud- och bildupptag- ningar i domstol.

Digitalt informationsutbyte med andra myndigheter

Risken för kränkningar av den personliga integriteten i samband med domstolarnas informationsutbyte med andra myndigheter inom rättsväsendet består i att känsliga uppgifter kan spridas till obehöriga inom eller utanför myndigheterna. Varje deltagande myndighet måste ansvara för sin behandling och upprätthålla rätt säkerhetsnivå. Dom- stolsdatalagen reglerar under vilka förutsättningar direktåtkomst till domstolens personuppgifter är tillåten. Kommittén bedömer att det finns en viss risk för intrång i den personliga integriteten i samband med detta informationsutbyte.

Utlämnande av uppgifter på medium för automatiserad behandling

Vid utlämnande av uppgifter i elektronisk form, per e-post eller på ett usb-minne finns det en risk för att känsliga personuppgifter kan spridas till obehöriga. Den elektroniska formen innebär större möj- ligheter för mottagaren att på olika sätt bearbeta uppgifter och sprida informationen än om utlämnande görs på papper.41 Det kan t.ex. göra det möjligt för enskilda att sammanställa uppgifter till egna be- lastningsregister. Kommittén bedömer att det föreligger påtagliga risker för intrång i den personliga integriteten i samband med ut lämnande av uppgifter på medium för automatiserad behandling.

Skydda integriteten med sekretess

En viktig del i skyddet för den personliga integriteten är möjlig heterna att låta sekretess gälla för vissa uppgifter om enskilda. En alltför långtgående offentlighet kan medföra skador på såväl enskilda som allmänna intressen. Intresset av offentlighet i domstol måste exempelvis vägas mot rätten till skydd för privat- och familjeliv enligt artikel 8 i Europakonventionen. En konsekvens av en långtgående

41 Domstolsdatalag, Ds 2013:10 s. 117 f.

Kommitténs sammantagna bedömning

SOU 2016:41

offentlighet kan också bli att domstolarna av integritetsskäl låter bli att i sina avgöranden närmare gå in på vissa uppgifter som är av be tydelse i målet. Därigenom riskerar en ofullständig bild ges av de skäl som lett domstolen fram till sitt ställningstagande, vilket i sin tur kan ha en negativ inverkan på medborgarnas förtroende för domstolarnas verksamhet.42

3.7.12De brottsbekämpande myndigheternas verksamhet (kapitel 18)

De brottsbekämpande myndigheterna inhämtar information om en- skilda på en rad olika sätt och ofta information som är känslig från integritetssynpunkt. Mycket av informationen behandlas därefter bl.a. i olika register. Åtgärderna motiveras av intressen att förebygga, utreda eller beivra brott. Dessa intressen måste anses vara legitima och centrala i en rättsstat. Dessutom syftar brottsbekämpningen i många fall till att skydda just enskildas personliga integritet i olika avseenden.

I detta kapitel om brottsbekämpande verksamhet har kommittén behandlat risker för integritetsintrång i samband med dessa före teelser:

•Hemliga tvångsmedel med stöd av 27 kap. rättegångsbalken (hem- lig rumsavlyssning, hemlig kameraövervakning, hemlig avlyssning och övervakning av elektronisk kommunikation samt genom sökning och kopiering av mobiler och datorer).

•Användning av spaningsmetoder som främst regleras av polislagen.

•Polisens aktivitet på internet.

•Behandling av personuppgifter i register.

•Tillgång till uppgifter i flygbolagens register.

•Internationellt informationsutbyte.

42 Regeringens proposition med förslag till sekretesslag, prop. 1979/80:2 Del A, s. 102; se även Ds 2014:33 s. 37 f.

100

SOU 2016:41

Kommitténs sammantagna bedömning

Behovet av, nyttan med och risken för integritetsintrång på grund av olika tvångsmedel har varit föremål för en omfattande kartläggning, framför allt inom ramen för Utredningen om vissa hemliga tvångs- medel.43 Utredningen gjorde dels en totalundersökning där man inhämtade uppgifter från de brottsbekämpande myndigheterna om varje enskilt ärende där den aktuella lagstiftningen tillämpats, dels djupundersökningar av vissa ärenden. Av kartläggningen framgår bl.a. att det överlag finns ett stort behov av tvångsmedlen samt att vissa tvångsmedel anses vara av särskild nytta, men att det fram- för allt i utredningar om organiserad brottslighet är av avgörande be- tydelse att information kan inhämtas på många olika sätt. Samtidigt konstaterades att tvångsmedlen medför integritetsintrång, som dock såväl de brottsbekämpande myndigheterna som domstolarna på olika sätt försökt begränsa vid den praktiska tillämpningen. Det har alltså gjorts en grundlig genomgång där intresset av en effektiv brottsbekämpning har vägts mot intresset av skydd för den enskildes personliga integritet.

Under de senaste åren har det dock mer eller mindre kontinuerligt pågått en rad olika och delvis överlappande lagstiftningsprojekt på området. Så är fallet även i dag. Dessa ständigt pågående förändringar av regelverket gör det svårt att bedöma den samlade effekten av åt gärderna från ett integritetsperspektiv. Samtidigt har vissa lag ändringar under senare tid inneburit att regleringen i ökande grad har samlats i 27 kap. rättegångsbalken44 och därmed gjorts mer överblick- bart, vilket får anses vara positivt även ur ett integritetsperspektiv. Vidare har i större utsträckning uppställts krav på beslut från domstol för användning av tvångsmedlen. För dessa ärenden hos domstol har också införts ett ökat krav på offentliga ombud som ska bevaka enskildas integritetsintressen.

Hemliga tvångsmedel med stöd av 27 kap. rättegångsbalken

Tvångsmedlen som utförs med stöd av 27 kap. rättegångsbalken är alltså väl reglerade och innefattar olika skyddsfunktioner för den personliga integriteten. När det gäller hur gällande regelverk följs har dock Säkerhets- och integritetsskyddsnämnden i sin tillsyns-

43 SOU 2012:44.

44 Prop. 2011/12:55 och prop. 2013/14:237.

101

Kommitténs sammantagna bedömning

SOU 2016:41

verksamhet uppmärksammat att även om de brottsbekämpande myndigheterna hanterar hemliga tvångsmedel på ett i huvudsak till- fredsställande sätt, föreligger vissa brister i verksamheten. En brist som uppmärksammats är att det material (upptagningar eller upp- teckningar) som erhållits genom hemlig tvångsmedelanvändning i vissa fall inte har förstörts tillräckligt snabbt.45 Det har vidare kon- staterats brister bl.a. i myndigheters dokumentation som inneburit att det inte alltid varit möjligt att följa handläggningen av tvångs medelsärendena samt att hantering av underrättelser till enskilda i flera avseenden varit undermålig.46

Kommittén bedömer ur ett riskperspektiv att det föreligger viss risk för den personliga integriteten i samband med användning av olika tvångsmedel med stöd av 27 kap. rättegångsbalken. Vid denna bedömning har kommittén beaktat sannolikheten för att gemene man ska träffas av åtgärden, liksom att företeelserna är väl reglerade och att risken för oönskad spridning är låg.

Ett hemligt tvångsmedel innebär dock ett mycket närgånget intrång i den personliga integriteten för den enskilda person som är föremål för åtgärden.

När det gäller den generella skyldigheten för teleoperatörer att lagra vissa trafikuppgifter gör kommittén bedömningen att denna företeelse utgör ett väsentligt avsteg från den väl etablerade prin cipen att personuppgiftsansvariga bara får lagra personuppgifter som de själva har ett behov av.

Användning av spaningsmetoder som främst regleras av polislagen.

Det finns även ett antal företeelser som är av beaktansvärd betydelse från integritetssynpunkt men som trots detta är mer eller mindre oreglerade i dag, bl.a. användningen av dolda kroppsmikrofoner och handmanövrerade kameror samt möjligheterna att kopiera hela inne- hållet i datorer och mobiltelefoner. Dessa spaningsmetoder regleras i dag främst av 8 § polislagen. När det gäller dessa företeelser gör

45 Se t.ex. redovisning den 23 maj 2012 (dnr 97-2012) den 22 maj 2013, dnr 96-2013 respektive den 22 maj 2014 (dnr 891-2014).

46 Se t.ex. SIN:s uttalanden den 25 mars 2015, dnr 137-2014 och 2088-2014).

102

SOU 2016:41

Kommitténs sammantagna bedömning

kommittén bedömningen att användningen av dessa metoder gene- rellt sett är förknippade med påtaglig risk för intrång i den personliga integriteten.

Polisens spaningsverksamhet på internet och utåtriktade verksamhet i sociala medier

Denna företeelse hör också till ett område med svag reglering.47 Riskerna handlar t.ex. om bristande insyn över vilka uppgifter som samlas in och behandlas. Kommittén gör bedömningen att dessa före teelser är förknippade med vissa risker för den personliga integriteten.

Behandling av personuppgifter i register

Även när det gäller Polismyndighetens behandling av personuppgifter i register har bl.a. Säkerhets- och integritetsskyddsnämnden upp- märksammat brister. Nuvarande brister förefaller handla om att gällande bestämmelser inte följs snarare än om utformningen av lag- stiftningen som sådan. I det avseendet konstaterar kommittén att det finns utrymme för förbättringar. Den stora organisation som Polis- myndigheten utgör innebär att en ännu större mängd uppgifter samlas hos en och samma myndighet samt att fler personer kan få tillgång till dessa uppgifter. Det ökar behovet av åtgärder för att säkerställa att uppgifter inte sprids till obehöriga personer i och utanför organisa tionen. När det gäller polisens behandling av personuppgifter i regi ster bedömer kommittén att företeelsen är förknippade med påtagliga risker för intrång i den personliga integriteten.

Tillgång till uppgifter i flygbolagens register.

Vissa uppgifter från flygbolagen överförs på begäran till de brotts bekämpande myndigheterna. Vidare för Polismyndigheten ett regis- ter över passagerare som ankommer direkt från länder som varken ingår i EU eller Schengensamarbetet. Polisen hämtar i viss utsträck- ning in uppgifter även från EU:s gemensamma system för viseringar. Denna behandling av uppgifter om resenärer är förknippade med risk

47 Se även kapitel 11 om E-förvaltning.

103

Kommitténs sammantagna bedömning

SOU 2016:41

för att fler uppgifter än nödvändigt samlas in och även med en risk för att de används för andra ändamål än det för vilket de samlades in. Denna risk ökar om uppgifterna inte gallras på ett ändamålsenligt sätt. Det rör sig här om uppgifter om en stor mängd människor som reser och som inte ägnar sig åt brottslig verksamhet. Företeelsen är dessutom internationell. Det finns dock ett skyddande regelverk. Kommittén gör bedömningen att denna företeelse är förknippade med en viss risk för intrång i den personliga integriteten.

Internationellt informationsutbyte

Polisens deltar även i annat internationellt samarbete om utbyte av uppgifter i brottsbekämpande verksamhet. Vid informationsutbyte finns risk för att det leder till en förlorad kontroll över flödet av personuppgifter och att den nationella lagstiftningen inte kan säker- ställa ett skydd för informationen. Informationen kan t.ex. komma att användas för andra syften eller få en större spridning än vad som varit avsett. Det kan vidare vara svårt att åstadkomma rättelse och utplåning m.m. avseende uppgifter som har överförts till andra länder . Kommittén bedömer att denna företeelse är förknippad med en viss risk för intrång i den personliga integriteten.

Kommitténs övriga synpunkter

Utöver vikten av intern uppföljning bör också framhållas betydelsen av en effektiv och ändamålsenlig tillsyn. När det gäller den frågan har regeringen tillsatt en särskild utredning – Utredningen om en myndig het med ett samlat ansvar för tillsyn över den personliga integriteten

– som har i uppdrag att bl.a. överväga hur ett i högre grad samlat in tegritetsskydd kan fungera inom en och samma myndighetsstruktur genom att tillsynen över behandling av personuppgifter samlas hos en myndighet. Uppdraget ska redovisas i september 2016.48

Ett annat problem är att myndigheterna i vissa fall inte uppfyller de krav som följer av ny lagstiftning på grund av att det föreligger tekniska problem på it-området. Som exempel på detta kan nämnas att bl.a. 10–11 §§ i gamla polisdatalagen aldrig fick genomslag på

48 Dir. 2014:164 och dir. 2015:139.

104

SOU 2016:41

Kommitténs sammantagna bedömning

grund av att polisens it-system inte hade de funktioner som krävdes för att kunna uppfylla lagens bestämmelser. Motsvarande reglering finns i 3 kap. 10–13 §§ i nya polisdatalagen. Men dessa bestämmelser behöver inte börja tillämpas förrän den 1 januari 2018.

Avslutningsvis kan konstateras att när det gäller det brotts bekämpande arbetet har den enskilde, av naturliga skäl, begränsade möjligheter att bestämma vilken information som myndigheterna får behandla. Systemet med underrättelse om användningen av hemliga tvångsmedel i efterhand kan i viss mån anses väga upp denna brist. På så sätt får den enskilde åtminstone möjlighet att bedöma vilket in tegritetsintrång som förekommit och möjlighet att reagera mot sådant som han eller hon anser vara rättsstridigt. Det finns dock undantag från skyldigheten att underrätta den enskilde. I dessa fall finns däremot krav på att det i stället är Säkerhets- och integritets- skyddsnämnden som ska underrättas och som också ska underrättas vid inhämtning av uppgifter om elektronisk kommunikation enligt den s.k. inhämtningslagen. Nämnden ska även på begäran av en enskild kontrollera om han eller hon har utsatts för hemliga tvångs medel eller har varit föremål för polisens personuppgiftsbehandling. Nämnden ska även kontrollera om tvångsmedelsanvändningen och personuppgiftsbehandlingen har genomförts i enlighet med lag eller annan författning. Dessutom finns möjligheten för en registrerad att få ersättning för den skada eller kränkning av den personliga integri- teten som en personuppgiftsbehandling i strid med lagen har orsakat.

3.7.13Försvarsunderrättelseverksamhet och militär säkerhetstjänst (kapitel 19)

Kommittén har i detta kapitel främst behandlat risker för intrång i den personliga integriteten vid behandling av personuppgifter vid signalspaning och vid behandling av personuppgifter i den militära underrättelsetjänstens it-system.

Inhämtningen av uppgifter i försvarsunderrättelseverksamhet och militär säkerhetstjänst syftar till att skydda Sverige och svenska in- tressen mot yttre hot, vilket är ett angeläget intresse. Säkerställandet av nationella säkerhetsintressen får i sig anses vara ett sådant ändamål som kan motivera inskränkningar av enskildas fri- och rättigheter.

105

Kommitténs sammantagna bedömning

SOU 2016:41

Att landet har en egen säkerhetpolitisk underrättelsesförmåga är också en förutsättning för att vi inte ska vara beroende av andra länders säkerhetsorgan.

Underrättelser hämtas in på en rad olika sätt, men signalspaningen är en av de grundläggande metoderna. Den tekniska utvecklingen på senare tid har inneburit att viktig information som tidigare kunde infångas genom signalspaning i etern, numera i allt högre utsträck- ning infångas via kabel.49 Det finns mot den bakgrunden ett starkt intresse av att signalspaning även kan utföras i kabel, särskilt eftersom det saknas alternativa metoder för att uppnå motsvarande resultat.

Försvarsunderrättelsemyndigheterna hanterar dock en mycket stor mängd uppgifter, som många gånger är av privat natur. Det görs dessutom i en verksamhet som omgärdas av stark sekretess vilket innebär mycket begränsade möjligheter till insyn för allmänheten. Myndigheterna har också långtgående befogenheter i sin verksam- het. Detta innebär risker ur ett integritetsperspektiv, men kan i läng- den även få betydelse när det gäller medborgarnas tilltro till myndig- heternas verksamhet. Mycket av den oro som framförts beträffande signalspaning har också handlat om bristande insyn och risken för missbruk.

Den enskilde har av naturliga skäl mycket begränsad insyn i och få möjligheter att påverka om och hur uppgifter behandlas i under- rättelseverksamheten. Det finns visserligen en skyldighet för FRA att lämna underrättelser till enskild när det använts sökbegrepp som är direkt hänförliga till en viss fysisk person. Med hänsyn till den sekretess som personuppgifter i försvarsunderrättelseverksamheten och den militära säkerhetstjänsten normalt sett omfattas av, måste dock denna skyldighet anses sakna en praktisk funktion som skydd för enskildas integritet.

När allmänhetens möjligheter till insyn är begränsade, är det desto viktigare med framför allt externa kontrollfunktioner. En vik- tig sådan funktion när det gäller signalspaningen är till att börja med den tillståndsprövning som görs av en självständig domstol och där en behovs- och proportionalitetsprövning ska göras. I den bedöm- ningen ligger en prövning ur ett integritetsskyddsperspektiv.

49 I 11:e septemberutredningens betänkande Vår beredskap efter den 11 september, SOU 2003:32 s. 129, angavs att 98 procent av trafik till och från Sverige då gick genom kabel, enligt vad FRA upplyst.

106

SOU 2016:41

Kommitténs sammantagna bedömning

Det finns också ett särskilt stort behov av effektiv efterhands- granskning genom extern tillsyn. Utifrån vad som redovisas i nämnda rapporter och redovisningar från Siun och Datainspektionen fram- står det som att de tillämpande myndigheterna tar integritetsfrågan på stort allvar och att följsamheten till gällande regelverk är god, även om vissa brister har uppmärksammats. Riksrevisionen har också be- dömt att Siuns granskningsverksamhet i sin tur är effektiv och att försvarsunderrättelsemyndigheterna tar nämndens synpunkter på allvar och genomför åtgärder i enlighet med Siuns beslut.

Vid signalspaning överförs all gränsöverskridande trafik i kabel till vissa samverkanspunkter, men det lagras inga uppgifter vid dessa punkter och endast en begränsad trafikmängd förs vidare till FRA via s.k. signalbärare. Trots detta innebär den verksamhet som bedrivs vid FRA att det i stor utsträckning inhämtas och bearbetas person uppgifter som kan vara av mycket privat och känslig natur. Mot bak- grund av att uppgifterna hämtas in och behandlas av myndigheter som omgärdas av stark sekretess och stora befogenheter skulle kunna göras gällande att riskerna för den personliga integriteten i samband med signalspaning ska bedömas som allvarliga. Intrånget i den personliga integriteten är tveklöst mycket omfattande för de en- skilda personer som faktiskt blir föremål för granskning. Mot bak- grund av att det finns tydliga regler om på vilket sätt denna spaning får bedrivas, att kontrollfunktionerna förefaller att fungera och att endast en ytterst liten del av den totala informationen blir granskad, gör kommittén ändå den sammanvägda bedömningen att riskerna inom det här området ska betraktas som påtagliga.

När det gäller behandling av personuppgifter i Must:s it-system handlar det också om behandling av en stor mängd personuppgifter i en verksamhet med liten insyn. Intrånget i den personliga integri teten är tveklöst mycket omfattande för de enskilda personer vars personuppgifter behandlas. Kommittén bedömer dock att det är låg sannolikhet för gemene man att utsättas för denna risk. Kommittén bedömer även att det handlar om en begränsad spridning av de personuppgifter som behandlas. Kommittén bedömer därför att det föreligger en viss risk för intrång i den personliga integriteten i sam- band med denna typ av personuppgiftsbehandling.

Ovanstående bedömningar bygger på det underlag som kommittén har haft tillgång till.

107

Kommitténs sammantagna bedömning

SOU 2016:41

Avslutningsvis ska nämnas att vissa utländska myndigheter sam- lar in och bearbetar information om Sverige och om personer som är bosatta i Sverige, på samma sätt som svenska myndigheter gör detta beträffande utländska förhållanden. Denna utländska verksamhet kan även ha andra syften, exempelvis att kartlägga egna medborgare som har flytt till Sverige (s.k. flyktingspionage). De utländska myndigheterna samlar in uppgifter bl.a. genom signalspaning, utan hänsyn till de begränsningar som gäller enligt svensk lagstiftning.

I vissa fall kan sådan utländsk verksamhet upplevas som mer in tegritetskränkande än om en svensk myndighet skulle ha agerat på motsvarande sätt, exempelvis om den utländska myndigheten arbetar

åt en diktatur. I andra fall kan utländska myndigheters behandling av uppgifter upplevas som mindre integritetskränkande än motsvarande nationella behandling, t.ex. på grund av att den enskilde typiskt sätt inte behöver konfronteras med uppgifter som finns hos utländska myndigheter. Oavsett vilket är det uppenbart att även sådan utländsk verksamhet utgör en betydande risk för den personliga integriteten i Sverige. Det är dock svårt för kommittén att närmare bedöma hur och i vilken omfattning sådana intrång förekommer.

3.7.14Övervakning med kamera (kapitel 20)

Diskussionen om kameraövervakning och personlig integritet är på intet sätt ny. De senaste årens teknikutveckling har dock ändrat förutsättningarna för övervakningen och aktualiserat nya aspekter. Det finns anledning att anta att teknikutvecklingen även har inne burit att kameraövervakningen i samhället har ökat väsentligt. I dagsläget är det dock ingen myndighet som har en samlad bild över hur omfattande kameraövervakningen är. Det finns inte ens någon samlad statistik avseende sådan kameraövervakning som kräver till- stånd eller anmälan. Denna avsaknad av statistik är en brist som gör det svårt att upptäcka förändringar när det gäller användningen av kameraövervakning. Avsaknaden gör det också svårt att bedöma hur omfattande kameraövervakningen faktiskt är.

Redan den omständigheten att kameraövervakning förekommer anses innebära ett intrång i den personliga integriteten, även om övervakningen endast görs i realtid och ingen inspelning före kommer. Om övervakningen spelas in blir intrånget större, beroende

108

SOU 2016:41

Kommitténs sammantagna bedömning

på hur länge materialet bevaras, vilka som har tillgång till det och vad det används till. Om olika kamerasystem kopplas samman med var- andra eller om inspelade bilder kopplas samman med information i stora databaser och biometriska funktioner som t.ex. ansikts igenkänning, möjliggörs en omfattande kartläggning och intrånget i den personliga integriteten kan bli mycket stort. Det ökade antalet kameror, även bland privatpersoner, i kombination med bättre upp- lösning, billigare lagringsutrymme och möjligheterna till samkörning med uppgifter i andra databaser, innebär stora risker för intrång i den personliga integriteten. Med drönare och kroppsburna kameror är det dessutom större risk än tidigare att man, avsiktligt eller oavsikt- ligt, filmar känsliga situationer, exempelvis i en trädgård eller ett om- klädningsrum. Därtill kommer risken för publicering eller annan otillbörlig spridning av bilder, som ofta innebär ett särskilt stort in- trång i den personliga integriteten. När det gäller etablerade former för kameraövervakning finns dock ett skyddande regelverk och en aktivtillsyn.Förnärvarandepågårenöversynavkameraövervaknings lagen och hur den ska förhålla sig till den nya tekniken. Kommittén gör bedömning att kameraövervakning innebär påtagliga risker för den personliga integriteten.

Kameraövervakningen har övergått från fysiskt avgränsade analoga system till uppkopplade datoriserade installationer. Tekniken utsätts därför för samma typer av risker som alla andra it-system. Det innebär bl.a. att det material som kamerorna överför eller spelar in måste skyd- das från intrångsförsök från utsidan och att innehållet måste skyddas från avlyssning när det överförs från kameror till servrarna där mate- rialet lagras. Används s.k. molntjänster uppkommer ytterligare säker- hetsproblem.

Vid lagring av omfattande material ökar också risken för s.k. ända målsglidning, dvs. för att materialet kommer till annan användning än den för vilken inspelningen ursprungligen gjordes.

Lagring, bildanalys och annan vidareanvändning av bilder och film ökar alltså riskerna som är förknippade med kameraövervakning. Kommittén bedömer därför att lagring och vidarebearbetning av sådana uppgifter är förknippade med allvarliga risker för den person liga integriteten.

Kamerövervakningslagen har till syfte att tillgodose behovet av kameraövervakning, men också att samtidigt skydda enskilda mot otillbörliga intrång i den personliga integriteten. För att åstadkomma

109

Kommitténs sammantagna bedömning

SOU 2016:41

detta skydd innehåller lagen detaljerade bestämmelser om när kamera övervakning är tillåten samt om upplysningsplikt, säkerhet och be varande av material. Som framgår ovan är det ännu inte helt klarlagt om den regleringen är tillämplig vid användning av vindrutekameror och drönare, vilket i sig är en risk för den personliga integriteten. Det kan även i andra fall vara svårt för en enskild att avgöra om en plane- rad övervakning omfattas av kameraövervakningslagen, eller om verksamheten anses vara av rent privat natur.50

Sammantaget är kameraövervakning ett område där det finns sär- skild anledning att följa den tekniska utvecklingen, t.ex. i fråga om möjligheter att koppla samman kamerasystem och databaser samt när det gäller risker för otillåten spridning och annat missbruk av material.

3.7.15Molntjänster (avsnitt 21.1)

Molntjänster har vissa fördelar även ur ett integritetsskyddsperspektiv. Främst genom att säkerheten för personuppgifterna kan vara bättre hos en molntjänstleverantör än i den personuppgiftsansvariges egen it-miljö.

Det förutsätter dock att den personuppgiftsansvariga organisa tionen har gjort en grundlig risk- och sårbarhetsanalys och ställt krav på säkerheten som motsvarar uppgifternas känslighet. Redan i detta led kan det finnas brister, exempelvis när den personuppgiftsansvarige felaktigt utgår från att det är molntjänstleverantören som ska göra en risk- och sårbarhetsanalys och sedan anpassa säkerhetsåtgärderna därefter. Resultatet kan då exempelvis bli att känsliga hälsouppgifter hanteras över internet med en säkerhet som är anpassad för uppgifter av helt annan, trivial natur. Det innebär i sin tur en risk för att de käns- liga uppgifterna läcker ut och blir åtkomliga på internet. En härmed relaterad risk är att den personuppgiftsansvarige kunden gör under- förstådda, men felaktiga, antaganden om att tjänsteleverantören genomför olika typer av säkerhetsaktiviteter, som exempelvis regel- bundna tester med återläsning av säkerhetskopierad information, penetrationstester och skydd mot skadlig kod.51

50 Jfr EU-domstolens dom den 11 december 2014 i mål nr C-212/13.

51 Jfr Molntjänster i staten, En ny generation av outsourcing, Pensionsmyndigheten, 2015, s. 44.

110

SOU 2016:41

Kommitténs sammantagna bedömning

De största integritetsrelaterade riskerna med molntjänster hänger emellertid ihop med förlusten av insyn och förlusten av kontroll som användningen av molntjänster i regel innebär.

Förlusten av insyn och kontroll innebär att det finns stora risker för att uppgifter kan komma att hanteras för biträdets eller under biträdets egna ändamål Det finns också en risk för obehörig åtkomst hos leverantörer och underleverantörer. Leverantörer av molntjänster som är gratis eller mycket billiga grundar oftast sin verksamhet på att uppgifterna som hanteras har ett värde i sig. Uppgifterna kan exempel- vis användas för att ta fram information om användarna. Efter sam bearbetning med andra uppgifter går dessa att använda som annons underlagellerförattutvecklanyatjänster.Betalningenförmolntjänsten utgörs då i praktiken av det värde som det innebär för leverantören att få åtkomst till uppgifterna. Det innebär att affärsmodellen i sig rym- mer en inneboende drivkraft att använda kundernas uppgifter för egna ändamål och att dela med sig av dem till andra företag. I en rapport från år 2012 nämns just molnföretagens affärsmodeller som en av de största utmaningarna för användarnas integritet.52

Förlusten av insyn och kontroll innebär också att det finns stora risker för att uppgifterna hamnar hos underleverantörer som är okända för den personuppgiftsansvarige kunden. Det kan innebära att kunden i slutändan inte kan uppfylla sin skyldighet att se till att uppgifterna hanteras för rätt ändamål och på ett tillräckligt säkert sätt. Det finns likaså en risk att uppgifterna hamnar i länder där lag- stiftningen ger ett otillräckligt skydd. Det kan exempelvis leda till att myndigheter och andra organisationer utanför EES lagligen kan få åtkomst till uppgifterna för ändamål och på ett sätt som inte hade varit lagligt i Sverige eller i något annat land inom EES.

Risken för detta uppstår så snart molntjänstleverantören är etablerad i ett tredje land, även om uppgifterna rent fysiskt hanteras på servrar i ett EES-land. Det visade sig i juli 2014 när en domstol i USA godkände ett föreläggande för Microsoft från rättsvårdande myndigheter i USA om att lämna ut uppgifter om en persons e-post- konto, utan att behöva begära rättshjälp från myndigheter i Irland.53 Microsoft uppger sig ha fått liknande propåer från kinesiska myndig- heter.

52 Privacy in Cloud Computing, 2012, International Telecommunication Union.

53 Avgörande den 31 juli 2014 av Chief U.S. District Judge Loretta A. Preska vid United States District Court, Southern District of New York, avgörandet har överklagats.

111

Kommitténs sammantagna bedömning

SOU 2016:41

Många gånger presenteras molntjänster som färdigförpackade lösningar där den potentiella kunden bara har två valmöjligheter: att acceptera standardavtalen eller låta bli att använda tjänsten. Av Data- inspektionens praxis framgår att standardavtal för molntjänster ofta ger leverantören goda möjligheter att hantera uppgifter för egna ändamål, även om sådana avtal strider mot 30 § personuppgiftslagen.

Personuppgiftslagen utgår från att det är den personuppgift ansvariga organisationen som bestämmer ändamål och medel för hanteringen av personuppgifter och som ger instruktioner till personuppgiftsbiträdet. Men när personuppgiftsbiträdet är en global molntjänstleverantör, blir förhållandet i praktiken vanligtvis det om- vända, dvs. att biträdet bestämmer ändamål och medel som den personuppgiftsanvarige har att rätta sig efter om den vill använda sig av tjänsten.

Det kan vara mycket svårt för små aktörer, exempelvis mindre kommuner, att ha den kunskap som behövs för att bedöma vilka krav som gäller för att det ska vara möjligt att använda sig av en moln- tjänst på ett lagligt sätt. När kunskapen finns, kan det ändå vara mycket svårt att förmå en global molntjänstleverantör att anpassa sina avtalsvillkor till en liten kommuns krav.

Även om ett avtal med en molntjänstleverantör uppfyller kraven i personuppgiftslagen, är det i praktiken oftast omöjligt för den person uppgiftsanvarige att utöva någon reell kontroll av om uppgifterna verkligen hanteras i enlighet med avtalet.

En annan risk med molntjänster kommer sig av att många av de populäraste tjänsterna är så billiga att det inte krävs någon upphand- ling eller ens en kontakt med den personuppgiftsansvariga organisa- tionens it-avdelning innan tjänsten börjar användas. Tjänsterna är ofta enkla att använda och kan bidra till att effektivisera arbetet. Anställda kan därför välja att använda tjänsterna utan att organisa tionens ledning känner till det, eftersom det underlättar arbets uppgifterna. Ansvaret enligt personuppgiftslagen för hur upp gifterna hanteras kan emellertid inte delegeras, utan ligger kvar på ledningen som helt saknar möjlighet att kontrollera en hantering vars förekomst i organisationen den inte ens känner till.

En komplikation som är specifik för Sverige, är det osäkra rätts läget när det gäller tillämpningen av offentlighets- och sekretess lagen på molntjänster, som uppstått efter det JO-beslut som nämns ovan i avsnittet om det skyddande regelverket.

112

SOU 2016:41

Kommitténs sammantagna bedömning

När det gäller tillsyn var Datainspektionen i en jämförelse med andra EU-länder tidigt ute med att granska molntjänster och har sedan dess varit fortsatt aktiv i tillsynen av molntjänster. Tillsynsverk- samheten har av allt att döma resulterat i att de stora molntjänst leverantörerna successivt blivit bättre på att anpassa sina standard avtal till kraven i personuppgiftslagen. Ännu har emellertid ingen hantering granskats som involverar känsliga personuppgifter, såsom molnbaserade journalsystem inom hälso- och sjukvården, försäkrings branschen eller socialtjänsten.

Ur ett integritetsskyddsperspektiv utmärker sig särskilt publika molntjänster där flera leverantörer är inblandade. Vid användningen av dessa tjänster finns det en stor sannolikhet för att den person uppgiftsansvarige förlorar insyn och kontroll över uppgifterna. Den enskilde vars uppgifter flyttas till molnet har då förstås ännu mindre vetskap om eller möjlighet att påverka hur uppgifterna hanteras. Molntjänstleverantörerna får i praktiken ett större inflytande över hanteringen än den som bär det legala ansvaret gentemot den en- skilde. Den personuppgiftsansvarige hamnar inte sällan i ett under- läge i förhållande till leverantören, både i fråga om kompetens att bedöma hur tjänsterna fungerar och i fråga om vilka krav som bör ställas på tjänsterna. Publika molntjänster är vanligt förekommande och kan innehålla mycket stora informationsmängder. När en tjänst är gratis eller mycket billig, grundas erbjudandet många gånger på leverantörens vilja och möjlighet att använda uppgifterna i tjänsten för egna ändamål. Sammantaget anser kommittén att publika moln- tjänster där flera leverantörer är inblandade, innebär en allvarlig risk för den personliga integriteten.

Samtidigt måste också beaktas att molntjänster bidrar till att effektivisera många verksamheter och möjliggöra nya tjänster. Moln- tjänster kan också ha fördelar ur ett integritetsskyddsperspektiv, främst genom att säkerheten för personuppgifterna kan vara bättre hos en molntjänstleverantör än i den personuppgiftsansvariges egen it-miljö.

113

Kommitténs sammantagna bedömning

SOU 2016:41

3.7.16Big data (avsnitt 21.2)

Grundtankarna med big data framstår som svårförenliga med de all- mänt vedertagna dataskyddsprinciper som kodifierats i dataskydds- direktivet och som i svensk rätt återfinns i personuppgiftslagen. Frågan är därför i vad mån metoder och affärsmodeller som involve- rar big data överhuvudtaget kan anses som förenliga med lagstiftning som bygger på dessa dataskyddsprinciper.

Till att börja med bygger big data på en tro på att de flesta data- mängder på något sätt kan komma till nytta i framtiden. Det betyder åtminstone på sikt att fler uppgifter kommer att samlas in än vad som noga taget skulle räcka för att tillgodose det egentliga och ur- sprungliga ändamålet med insamlingen och att dessa uppgifter inte heller kommer att gallras förrän det står helt klart att de inte länge behövs, om ens då. Det kommer sannolikt att leda till att det bildas allt större och detaljerade samlingar av uppgifter om enskilda.

En annan grundläggande tanke med big data är att nya och oväntade samband och förklaringar förväntas uppkomma när tidigare separata uppgiftssamlingar sambearbetas. Det fordrar att uppgifterna hanteras för helt nya ändamål som de enskilda i praktiken varken känner till, kanske inte ens hade kunnat föreställa sig och långt mindre har samtyckt till. Det kan leda till att enskilda fullständigt tappar kon- trollen över hur och för vilka ändamål deras uppgifter hanteras.

Sambearbetning av stora mängder uppgifter i olika datasamlingar, som var för sig inte möjliggör identifiering av enskilda, kan leda till att det blir möjligt att identifiera enskilda som finns registrerade bland uppgifterna. På samma sätt blir det också allt svårare att åstad- komma en beständig anonymisering av datasamlingar, eftersom möjligheterna till återidentifiering blir allt bättre.

Vidare kommer ny kunskap om enskilda att uppstå när data samlingar sambearbetas och okända samband och mönster framträder som har bäring på enskilda. Eftersom det kan röra sig om väldigt stora datamängder, kan resultatet innebära en mycket närgången kartlägg- ning.

En annan risk består i de många möjliga felkällorna i big data. Det som utmärker uppgifterna i dessa sammanhang är volym och varia- tion i typer av uppgifter, men kvalitet (i bemärkelsen riktighet och

114

SOU 2016:41

Kommitténs sammantagna bedömning

aktualitet) är sällan möjlig att upprätthålla eller ens att kontrollera. Det innebär en risk för att det skapas felaktiga uppgifter, och därmed också felaktiga slutsatser, om många personer.

En annan risk är att drivkraften att göra prognoser om enskilda med utgångspunkt i stora mängder historiska data, kan medföra en förstärkning och fördjupning av redan existerande fördomar och leda till diskriminering. Den risken blir ännu allvarligare om progno- serna används till att fatta automatiserade beslut som rör enskildas rättigheter och skyldigheter, utan att någon mänsklig beslutsfattare är inblandad.

Big data har ännu inte varit föremål för någon närmare gransk- ning utifrån ett integritetsskyddsperspektiv i Sverige. Här har data- skyddsmyndigheterna i exempelvis Storbritannien och Norge kom- mit längre.

Faktorer som i detta sammanhang är av betydelse för risken för den personliga integriteten, är att big data innebär att uppgifter han- teras för nya ändamål som inte är kända vid insamlingen. Det medför att den enskilde förlorar både kännedom om och inflytande över hur uppgifterna hanteras. Med big data blir det särskilt tydligt att person uppgifter betraktas som en handelsvara med ett högt kommersiellt värde. Det medför en avsevärt ökad risk för spridning av uppgifterna till parter som inte är kända för den enskilde.

Kommittén anser därför att big data för med sig en allvarlig risk för den personliga integriteten.

Samtidigt måste också beaktas att big data på ett genomgripande sätt kan komma att effektivisera och förbättra verksamheter i många delar av samhället.

3.7.17Biometri (avsnitt 21.3)

Användningen av biometriska tekniker innebär flera olika risker för den personliga integriteten. Vissa av de risker som nämns här, be- handlas utförligt i Artikel 29-gruppens yttrande från år 2012 om ut- vecklingen i fråga om biometrisk teknik.54

54 Artikel 29-gruppens yttrande 3/2012 om utvecklingen i fråga om biometrisk teknik, WP 193, antaget den 27 april 2012.

115

Kommitténs sammantagna bedömning

SOU 2016:41

En risk är att biometriska uppgifter behandlas för nya ändamål som är oförenliga med de ändamål för vilka uppgifterna ursprung ligen samlades in. Exempelvis kan biometriska uppgifter om gångstil och ansikte användas inte bara för att identifiera enskilda, utan också för att hitta oönskade beteenden eller särskilda behov hos enskilda.

En annan risk är att fler biometriska uppgifter hanteras än vad som behövs för ändamålet, t.ex. att hela fingeravtryck samlas in och lagras när det i själva verket hade varit tillräckligt att bara hantera vissa mätpunkter från fingeravtrycket. Detsamma kan inträffa när uppgifter om DNA inte bara möjliggör identifiering, utan även av- slöjar något om den registrerades hälsotillstånd, sjukdomsbenägen- het eller etniska ursprung.

Ytterligare en risk är att biometriska uppgifter inte skyddas till- räckligt och som en följd av detta blir tillgängliga för personer som kan använda uppgifterna för exempelvis identitetsstöld.

Det finns också en risk för att biometriska uppgifter kan använ- das utan att den enskilde känner till det eller lämnar sitt samtycke, t.ex. vid publicering av bilder på nätet eller i sociala medier där det finns särskild programvara för ansiktsigenkänning.

Det finns slutligen också en risk för överutnyttjande av biometri när tekniken blir billigare, enklare och därmed mer lättillgänglig. Alla sammanhang kräver inte den höga precision som biometri kan erbjuda.

En ökad användning av olika biometriska tekniker i samhället, riskerar att göra det mycket svårt att någonstans i det offentliga rum- met kunna vara helt anonym. När kameror och annan utrustning i omvärlden kan läsa av och identifiera den enskildes kropp eller per- sonliga beteende och koppla ihop de biometriska uppgifterna med uppgifter från andra datakällor blir detta avsevärt mycket svårare.

Sammantaget anser kommittén att användningen av tekniker som involverar många och detaljerade biometriska uppgifter, innebär en påtaglig risk för den personliga integriteten.

Samtidigt måste beaktas att biometriska tekniker kan medföra stora fördelar t.ex. genom att bidra till att höja säkerhetsnivån vid åtkomst- eller tillträdeskontroller och genom att göra identifierings- och autentiseringsförfaranden säkrare genom kombination med andra metoder, men också enkla, snabba och bekväma för den en- skilde.

116

4 Overall assessment

In May 2014 the Swedish Government decided to appoint a parliamen- tary committee to survey and analyse the actual and potential risks of breaches of privacy that may arise in conjunction with the use of infor- mation technology in the private and public sector. The Government appointed Göran Gräslund to chair the committee. The Privacy Committee is now submitting its interim report Hur står det till med den personliga integriteten? (What is the privacy situation?) This is a translation of the chapter of the report in which the committee sums up the situation with regard to privacy.

In this section we attempt to assess what the combined impact will be on an individual of all the collection and storage of personal data, surveying and surveillance in which he or she participates or to which he or she is subject in today’s increasingly digitised society.

We also examine the general problems that we have identified as encroaching on several areas of society.

In our final report we intend to investigate the steps that could be taken to counteract the risks that we have identified. Here, methods other than legislation may be relevant, such as industry agreements or proactive measures on the part of the supervisory authorities.

4.1The combined impact on the individual

In Chapter 5, Privacy, we describe how we use the term privacy. In somewhat simplified terms, we understand privacy to mean every- thing that it would normally seem relevant to safeguard in order for an individual to be assured a reasonable, protected, private sphere. It

117

Overall assessment

SOU 2016:41

is our mission to show, from the perspective of the individual, the combined impact that recent technological and social developments, in all areas, have had on the privacy of individuals.

The development is sometimes termed “the digital revolution”, drawing a comparison with the industrial revolution, or “the third industrial revolution”, drawing a comparison with mechanisation and the development of steam power, followed by the development of electricity and the combustion engine.1

Whatever term or detailed description is chosen, the shift means a comprehensive change to society and the conditions in which indi- viduals live. This trend naturally brings with it a huge potential benefit, but the task of the committee is to focus on actual and potential risks.

Today digital personal data is generated and used to an ever increasing extent in all areas of society. The number of actors is growing, areas of use are increasing, storage times lengthening, more information is being disseminated and exchanged between actors, further processing of data by the respective actors is growing, and dissemination beyond national borders and the ability to process data in real time are on the rise. We are also seeing that some major actors, as a consequence of the development as a whole and their own business strategies, are gaining access to an ever increasing amount of personal data, so giving them the opportunity to draw increasingly complete pictures of individuals.

This trend is due to digitisation and to a gradual change in the way information processing is viewed, both in public administration and in the business sector.

The trend can be described using the following simplified image:

•Previously organisations had one specific purpose for building up a personal data register or a database. Now there is a wide range of purposes.

•Previously data was collected because there was a clear need to do so. Now it is collected because it “might come in useful one day”.

•Previously it was important, partly for reasons of cost, to keep storage times low. Now major benefits are seen in retaining data.

1 Cf. the final report of the Digitalisation Commission, Digitaliseringens transformerande kraft

– vägval för framtiden (The transformative power of digitisation – choices for the future), SOU 2015:91, p. 68.

118

SOU 2016:41

Overall assessment

•Previously searches and analyses of personal data were done with a particular purpose in mind. Now big data and data mining are a reality.

•Previously personal data was gathered through a specific registra- tion process. Now it happens more or less automatically by an individual taking action and using digital tools.

•Personal data has increasingly become a commodity.

This trend has been made possible despite the fact that basic data protection principles such as duty to inform, obtain consent, erase and what is known as the “purpose principle” continue to apply.

From the point of view of the individual, the trend means that knowledge of how the information will be processed, and the oppor- tunity to influence this, is constantly shrinking in relation to the growth in processing of personal data in society.

Correspondingly, the individual’s opportunity to decide, in a truly free choice, how information about him or her is to be handled is also restricted.

The general conclusion of the Privacy Committee is therefore that in a number of areas the individual is suffering a gradual erosion of privacy.

We can see a shift in influence over how the data is handled – from the individual to the personal data controllers and from the personal data controllers to service providers. Service providers often tend to be large, global companies, even though in a formal sense they are only personal data processors and thereby obliged to follow the instructions of the data controllers. The global companies are very big, but few in number and usually based in the United States. This shift therefore also means a concentration and geographical reloca- tion of influence, beyond the jurisdiction of Sweden and the EU.

Regulation of how data may be handled is largely conducted at EU level. National influence from the Government and the Riksdag must thus be exercised through the EU partnership, with the limitations that this involves. On top of this, as stated above, comes the fact that the actual data processing often takes place outside the EU, which in turn reduces the EU’s opportunities to influence it. In this context it

119

Overall assessment

SOU 2016:41

is significant that the EU’s data protection provisions tend to provide stronger protection than equivalent rules in other parts of the world, such as the United States.

The overall picture of how data is handled today is a challenge to which individuals may react in different ways.

However, it is clear that when knowledge and control are propor- tionally reduced, the conclusion must be that the situation for privacy is getting worse, irrespective in fact of how one chooses to define the concept of privacy.

The scenario of the individual’s declining self-determination in this respect is also a challenge that the state may react to in different ways. It can accept the individual’s relatively diminishing awareness and opportunities to exert influence as a given. It may work to increase individuals’ awareness and influence. It may also work to prevent such data processing that is not desirable for some reason. The Swedish state has so far chosen a mixture of all three options.

The scenario also raises a question of a different type – are people and their behaviour changed by the accelerating digital processing of their information and their private lives? And if so, how? We com- missioned Lund University to produce a systematic review of the literature on digitisation and privacy. It shows that both internation- ally and in Sweden, there is surprisingly little knowledge of the effect that digital surveillance has on people’s behaviour and their view of the world and themselves. There are some studies indicating a risk that a lack of respect for privacy can lead to lower internet usage and lower political engagement (at least online).2 However, at the mo- ment there is no scientifically valid and empirical evidence that this is the case.

4.2General problems

Some of the problems are not restricted to any particular part of so- ciety but may be encountered by the individual in many different situations. We therefore wish to highlight these and treat them sepa- rately.

2 See the articles listed in the literature review, particularly in the section on the knowledge and behaviour of young people. There are other reports on this too, such as Global Chilling – The Impact of Mass Surveillance on International Writers, Results from PEN’s International Survey of Writers (January 2015).

120

SOU 2016:41

Overall assessment

4.2.1Knowledge of how data is handled

One recurring observation is that individuals are largely unaware of and have little knowledge of why and how their personal data is being processed in equipment and services in different contexts. This is confirmed by a number of surveys. For example, in one work-related survey, only 21 per cent of the employees questioned said that they knew what data their employer collected about their internet use.3 In another survey, 8 out of 10 Swedes questioned considered that they were not in complete control of their data.4 The committee made a similar observation on companies or agencies that are data control- lers. Where these are concerned there are no surveys equivalent to those on the knowledge and attitudes of individuals, but in our con- tacts with different parties and in our overview of the prevailing situ- ation it has emerged that a lack of knowledge is not uncommon among those responsible either. One clear example of this is agencies that purchase cloud services without looking in more detail into how the data is handled and disseminated within the service.

4.2.2Opportunity for the individual to exert influence

Several factors make it harder for individuals to influence how their own data is stored and disseminated. This is firstly made more diffi- cult by the growing further processing of data for new purposes in different parts of society, e.g. through big data. Secondly, it is more difficult for people to have control over their own data because we use equipment that generates and disseminates increasing amounts of personal data – through apps and sensors installed in mobile phones and vehicles, for example.

When the individual is unaware of this and is unable to influence how this personal data is handled, the importance of consent is un- dermined. The consent obtained for different types of data process- ing increasingly appears to be chimerical. Even in situations where the way in which data is processed is crystal-clear to the individual and clear consent is requested, in practice the individual may often lack a choice because saying no would demand a high price in terms

3 Report of 26 June 2014 on a survey of its members carried out by the trade union Unionen.

4 Special Eurobarometer 431, Data Protection, published in June 2015 and the Swedish Data Protection Authority’s annual report for 2015, p. 4.

121

Overall assessment

SOU 2016:41

of, e.g. ceasing to consume online media, ceasing to communicate using social networks, being unable to use credit cards and unable to contact certain care providers, for example. Humans are social animals and exist in a technological context that it is very difficult to opt out of in practice. Refusing to consent means being excluded, and is thus rarely a realistic alternative. Consent questions are often worded as binary options, i.e. either the individual consents to every- thing that the body responsible wants to do with the data in order to provide a particular service or the individual does not consent and cannot therefore use the service at all. There are rarely graduated options. In some contexts, such as public administration, there is also legislation that does not require consent, and the individual has no legal opportunity to oppose their data being handled in this area. This can have far-reaching effects when information from the administrative sphere reaches the private sector, e.g. through cloud services or the principle of public access to official documents.

4.2.3The individual’s own protective measures

The individual’s opportunity to take protective measures requires knowledge of how the data is processed and disseminated by compa- nies and agencies, but also knowledge of how information is dissem- inated by other individuals, e.g. when pictures of individuals are published on social media by other users.

Furthermore, in practice it is often time-consuming and compli- cated to protect oneself in ways other than non-participation, e.g. by using encrypted e-mail or other technological solutions available to the individual. This does not seem a realistic option for the vast ma- jority. We commissioned a data security specialist to produce an overview of privacy protection technology. The committee shares the assessment made in the report on the opportunities that individuals have available for protecting themselves against breaches of privacy.

Many day-to-day services that rest on modern information technology and are seen as indispensable, often involve an in-depth survey of the individual.

(…) It is hardly possible, as an individual citizen, to defend oneself against the breach of privacy that occurs by using these technologies, other than by actively choosing not to use the majority of them. Few people are likely to consider stopping buying electricity or stopping using a mobile phone, however. The alternative, as a consumer attempting to protect their private

122

SOU 2016:41

Overall assessment

sphere by various means, is often so impractical and expensive that it rarely seems a realistic option other than for those engaged in gross criminal offences. This group of individuals may well take far-reaching steps to avoid leaving an electronic footprint, including solely using cash, always using anonymisation services on the internet and randomly swapping mobile phones and unregistered SIM cards in different places, as well as turning devices off when they are not needed.

4.2.4What do individuals think?

The fact that individuals – without having any real alternatives – give away their personal data and do not to any major extent take the measures and steps that do nevertheless exist to protect their data, does not mean that individuals in general care nothing for their privacy. In several surveys respondents answer on the contrary that how their data is handled is important to them, that they would like a clear regulatory framework that is upheld and that their trust in different actors varies considerably in this respect. In a major European survey conducted in 2015 on public attitudes to privacy, 52 per cent of the Swedish respondents disagreed with the statement “providing personal information is not a big issue for you”.5

In another survey, carried out by a trade union, a clear majority of the members questioned answered that they were neither concerned about breaches of privacy at work nor had ever experienced such breaches.6 When, on the other hand, they were asked to read some examples of surveillance and then state whether they thought the union should push for stronger privacy protection, an equally clear majority thought that the union should do so.

4.2.5Insufficient supervision

Supervision of how personal data is handled covers only a fraction of all the phenomena that pose a risk in terms of privacy protection. The greatest responsibility for supervision lies with the Swedish Data Protection Authority, whose job has largely remained the same since the agency was founded in 1973. Today the authority has a

5 Special Eurobarometer 431, Data Protection, published in June 2015 and the Swedish Data Protection Authority’s publication Integritet i fokus (Privacy in focus), no. 4, 2015.

6 Report of 26 June 2014 on a survey of its members carried out by the trade union Unionen.

123

Overall assessment

SOU 2016:41

workforce of approximately 45 people, who are also charged with exercising supervision over debt recovery and credit information. The size of the agency and its mandate means that many new phe- nomena and actors, for obvious reasons, are not examined or assessed at all from a privacy protection point of view, or that this only hap- pens once they have been on the market for a while.

In recent years the situation has been affected by the fact that the Data Protection Authority has gradually cut back its supervisory activities. This is partly explained by a marked increase in the number of reports and documents submitted for consultation by the Government, which has taken resources away from its supervisory operations.7

In this area supervision can be said to be particularly important. Firstly, new phenomena arise at a very rapid pace. There is reason to assess many of these from a legal perspective. Secondly, the regula- tions are relatively imprecise and intentionally general. It is therefore only once the supervisory authority has assessed a new phenomenon that suppliers and users receive any guidance. The result of the su- pervision can then be used in the outward, proactive work of the su- pervisory authority to disseminate awareness.

The Swedish Consumer Agency has said that it has experienced certain difficulties exercising supervision in the digital environment. The problems partly concern digital and individually tailored mar- keting, e.g. on social media, based on more or less detailed profiling. The phenomenon has not been subject to supervision by the Swedish Consumer Agency. Similarly, user conditions for social media have not yet been examined by the Swedish Consumer Agency.

In its survey the committee found that supervision of privacy to- day is split between several different agencies. Besides the Swedish Data Protection Authority and the Swedish Consumer Agency, su- pervision in the privacy arena is also carried out by the Swedish Post and Telecom Authority, the Swedish Commission on Security and Integrity Protection, and the county administrative boards. Split su- pervision can result in a loss of efficiency regarding supervision overall. However, we have refrained from addressing this issue in any greater depth at this time, as it is currently being analysed in

Utredningen om tillsynen över den personliga integriteten (the Inquiry

7 Swedish Data Protection Authority annual report for 2015, p. 4.

124

SOU 2016:41

Overall assessment

into supervision of privacy).8 With the aim of strengthening protec- tion of privacy, the inquiry will consider how more coherent privacy protection could work within a single agency structure by gathering all supervision of the processing of personal data within one agency.

4.2.6Sanctions

A general issue for the whole area is that the sanction system, both in criminal law and tort law, does not appear to be used to any great extent. Very few cases reach the courts in any case. For example, in the period 2012–2015 we have found only five disputes that came before the district courts in which the case involved damages under the Personal Data Act. The situation in criminal law is no different. In 2014 in Sweden as a whole, a decision was reached in a total of only four cases of breach of the Personal Data Act (by a judicial rul- ing, imposition of a penalty or decision not to prosecute).

When the system is used at all, it concerns mild punishments and low amounts of damages.

In summary, the sanction system cannot be said to work to its full capacity, as it has not had the effect that was intended when the pro- visions were introduced.

4.2.7Globalisation

Another general observation is that digital services are increasingly characterised by globalisation. Many different actors in different countries work together, for example, in providing all the compo- nents and programs in a mobile phone. Personal data about the user can sometimes by processed by those who manufactured the phone, the operating system, or the apps it contains. It is not uncommon for the different manufacturers to be located in different continents. The apps in turn are often cloud-based and it is the nature of cloud services that data is moved between different data centres across the world. This also leads to the legislation of these countries being ap- plied to how the data may be handled, which may involve provisions that provide considerably poorer data protection than that in the

8 Ju 2015:02.

125

Overall assessment

SOU 2016:41

rules in Sweden and the EU, e.g. on the right of the state to access the data. Processing in other countries also means that it is usually impossible in practice to exercise control over and supervise how the data is actually being handled.

Another consequence of globalisation is that agencies need to give out information to companies that are based in other countries, where accordingly it is the other country’s laws that regulate how the data may be handled and disseminated further.9

4.2.8Journalistic purposes under the Personal Data Act

One question we do not address in further detail in the examination is that today’s Swedish framework legislation, the Personal Data Act, sets out that significant parts of the regulations do not need to be applied in certain situations as this would restrict freedom of ex- pression. Here we are not concerned with publication on the internet using what is known as a voluntary certificate of no legal impediment to publication, which provides protection under the Fundamental Law on Freedom of Expression and thus overrides parts of the Personal Data Act. Publication without a voluntary certificate of no legal impediment to publication also falls outside the remit of the Personal Data Act if publication is for “journalistic purposes”. The provision originates in Article 9 of the Data Protection Directive, which contains a corresponding clause. When the provision was tested by the Swedish Supreme Court, the court judged that activi- ties that involve informing, levelling criticism and initiating debate on social issues of importance to the general public must be consid- ered to have a journalistic purpose in the sense of the Personal Data Act. It may also be a journalistic purpose to inform, criticise and de- bate on certain issues even if this is done in a manner which offends other individuals.10

9 See e.g. Supreme Administrative Court ruling HFD 2014 ref. 66, where the circumstance that a company was based in Norway meant poorer confidentiality protection for data held by the National Board of Health and Welfare in a question of handing over data, because the Norwegian company was not bound by the Personal Data Act.

10 NJA 2001 p. 409 and Öman & Lindblom, Personuppgiftslagen (The Personal Data Act) (15 October 2015, Zeteo), comment on Section 7, paragraph 2 of the Personal Data Act.

126

SOU 2016:41

Overall assessment

In its application the provision has been broadly interpreted and has been applied, for example, to publication online in the form of blogs which contain personal data and which are seen as an infringe- ment of privacy by the people mentioned in them. Because the pur- pose of publication was judged to be journalistic, publication was not considered to be in breach of the Personal Data Act.11

4.2.9Internet hate

Another significant risk to the privacy of an individual lies in what users of social media may write and publish about other people on- line.

In recent years an increasing number of different kinds of online hate campaigns have been reported. The phenomenon is often called internet hate. For example, the most recent report from the organisa- tion Friends on children’s and young people’s experience of the in- ternet shows that as many as one in three of those aged 10–16 have been the victim of online harassment in the past year.12

In all age groups it is more common for women to face harass- ment online than men. The Swedish Government report Integritet och straffskydd13 (Privacy and protection provided by criminal law) summarises research into breaches of privacy online. The summary states that there are researchers in the field who consider that many internet hate campaigns have a clear gender aspect in which women are exposed to sexualised harassment to a considerably greater extent than men. According to these researchers, in the long run this can lead to self-censorship, which could be seen as a threat to gender equality and freedom of expression.

Internet hate can also be carried out by organisations. For exam- ple, individual journalists have suffered repeated and systematic on- line harassment from the organisations they are scrutinising, with the clear purpose of forcing this scrutiny to stop.14

11 NJA 2001 p. 409.

12 Friends’ internet report 2016.

13 SOU 2016:7.

14 In the media, for example, a case in Finland was recently reported; see the article Grävande journalist blev måltavla för proryska troll (Investigative journalist targeted by pro-Russian trolls), published on svt.se on 13 March 2016 and written by Ulf Mattmar and Hedvig Eriksson.

127

Overall assessment

SOU 2016:41

The internet is sometimes described as a new arena for threats and harassment. Through the internet and other electronic commu- nication, opportunities for individuals to disseminate information that breaches the privacy of others have increased considerably. New protective interests have therefore arisen, bringing with them a con- siderably increased need for better designed protection in criminal law for private life and privacy. With this in mind, the report Integritet och straffskydd15 proposes that a new penalty provision for unlawful violation of privacy be introduced in Chapter 4 of the Swedish Penal Code. The proposed provision would mean criminal liability for a person who violates another person’s private life by disseminating images or other information in a way that is intended to cause tangible harm to the person who is the subject of the information.

Because internet hate as a phenomenon has thus recently been analysed and as this has also led to a proposal being submitted which seeks to tackle the problem, the committee will refrain from study- ing the phenomenon in any greater depth.

4.2.10Principle of public access to official documents

The Freedom of the Press Act of 1766 introduced the principle of public access into Swedish law. It states that all exercising of author- ity is to be transparent and that anyone who wishes to do so has the right to read the authorities’ official documents. Since its introduc- tion the principle of public access to official documents has remained in force virtually continuously, with broad and strong support in the Riksdag. Today the principle is a cornerstone of Swedish democracy.

The principle of public access to official documents takes as its starting point the fact that documents should be public, and that deviation from this may only be made under special circumstances and after the legislator has carefully weighed up the interests of the need for publicity on the one hand and the need for confidentiality on the other, in each individual case.

With the growth of digitalisation new consequences have arisen for the principle of public access. The better and cheaper the techni- cal opportunities for processing data in combination with other data and for disseminating information over the internet become, the

15 SOU 2016:7.

128

SOU 2016:41

Overall assessment

greater the commercial value of the personal data that government agencies possess. Many companies therefore want to access this data. Some agencies may charge a fee for handing over certain data, where- upon the data gains economic importance for the agency too. Once companies have obtained data with the support of the principle of public access to official documents, they can disseminate and process the information for purposes completely different from those for which the agency originally gathered the data. Sometimes the com- panies may also publish personally sensitive data on the internet with the protection of the Fundamental Law on Freedom of Expression through a voluntary certificate of no legal impediment to publica- tion, with the consequence that some of the regulatory framework that protects privacy ceases to apply. The issue of the import of vol- untary certificates of no legal impediment to publication as regards privacy is currently the subject of an inquiry by the Committee on the Fundamental Laws on the Media.16

The Swedish principle of public access to official documents and the European data protection rules can be said to work in principle in different directions – the principle of public access to official docu- ments takes as its starting point publicity (and confidentiality provi- sions that regulate exceptions), while the main rule of the Data Protection Directive is that personal data must not be disseminated (unless this is supported by any of the provisions of the Directive). The committee judges that the differences in principle have never- theless been able to be addressed when applying the legislation in practice.

4.2.11Privacy an important value for the whole of society

Privacy is not merely important for the individual. It is essential for society in general that its population can be free to form opinions and make statements; that they can, fundamentally, spend time doing what they want to do with people they want to spend time with, without outside involvement or interference. The right to privacy (which is a human right enshrined in the Swedish Constitution in its own right) is thus also an important factor for other central and constitutional rights, i.e. for those rights that form the foundation of

16 Ju 2014:17.

129

Overall assessment

SOU 2016:41

a democratic society, particularly the right to freedom of expression but also the right to freedom of information and freedom to disclose information.

In recent years we have seen several examples of individuals being harassed in order to silence them from creating public opinion, or from engaging in political activity or journalistic scrutiny. If this type of infringement of our fundamental rights has the wider effect of affecting individuals’ willingness to communicate their opinion and take part in public debate, this constitutes a threat to democracy.

In the same way, fundamental values can be damaged if individuals refrain from activities due to loss of trust or concern that they will be registered, surveyed or the object of surveillance in a way which could harm them in the longer term.

There is no doubt that in individual cases there are people who have chosen to refrain from exercising their rights after having been the victim of various forms of harassment, threats or pressure. However, the committee has no evidence to definitively determine that the behaviour of the population in general has been affected by increased concern over being attacked on the internet, surveyed or the object of surveillance.

Another rights-related problem is the massive collection of data that enables profiling and individually tailored marketing or individ- ually tailored search results (known as filter bubbles, described in more detail in the section addressing consumers) which can lead to discrimination and exclusion contravening Chapter 1, section 2 of the Instrument of Government, one of the fundamental laws that form the Swedish Constitution.

A further risk involves a potential but far from impossible future scenario in which human rights are no longer upheld in the same way as today, in Sweden or in countries with which we cooperate and to which information flows relatively freely. The major opportunities that exist for agencies and companies to survey individuals might then be used in completely different ways that might be extremely negative for the individual.

130

SOU 2016:41

Overall assessment

4.3The development of technology

In our examination we have particularly noted certain phenomena of a more technical nature which recur in several areas. These are in- creasing in use in purely general terms. In our view these are already of vital importance to the protection of privacy but can be expected to have an even greater significance in a not too distant future and may also re-draw the playing field in several ways.

Big data and the internet of things are two such phenomena that we have addressed in the interim report.

Two other phenomena are of an even more technical nature but will move the goalposts for how we will be able to handle personal data in the future: the development of artificial neural networks17 and the development of the quantum computer.18

We have also noted that some other phenomena have not had the impact on privacy that was once predicted. One example of this is RFID tags, which we do mention as a potential risk to privacy, but which a few years ago were expected to have a considerably greater impact on privacy than we judge has actually been the case. This shows that it is hard to predict with any great accuracy which phe- nomena will have the greatest impact and influence even over a short time frame.

Another observation we have made is that privacy protection technology could be used to a considerably greater extent than is currently the case. Several good examples are addressed in the over-

17 Sweden’s encyclopaedia Nationalencyklopedin explains neural networks as networks of simple additive units that communicate by connections. In biological neural networks the units are nerve cells (neurons) and the links are synaptic connections. Biological neural networks have served as role models for the development of artificial neural networks, which are realised as computer programs, as integrated circuits (neurochips) or with the help of analogue optical technology, e.g. holography. What makes artificial neural networks stand out is partly their ability to learn, the parallelity that results in a high calculation speed and robustness in terms of errors and noise in input data and in the network itself. Examples of areas of application for neural networks include pattern and image recognition, medical forecasts and artificial intelligence.

18 According to Nationalencyklopedin the major difference between an ordinary computer and a quantum computer is that a string of quantum bits in a quantum computer may be found in a (coherent) superposition of all the quantum bits included in the string, known as parallelism. The quantum bits may also be entangled, which brings very unique opportunities for a quantum computer to carry out calculations. It is these two characteristics, parallelism and especially entanglement, that give a quantum computer its unique properties compared with an ordinary computer. A quantum computer cannot carry out different calculations from an ordinary computer, it can merely perform them in a different way, but it would be able to carry out some calculations much faster than an ordinary computer.

131

Overall assessment

SOU 2016:41

view of privacy protection technology referred to above. The starting point of the overview is that the use of well-designed privacy protec- tion technology makes it possible to achieve a more beneficial equi- librium in weighing up benefits and risks to privacy. In our view this is a clear area for improvement.

Another observation that runs through the entire examination is that the state does not have any overall picture of development in general in this area, either in terms of the development of technology or regarding new working methods that involve processing personal data. According to several reports examining the issue, nor does the state have an overall overview or control over how its own adminis- tration is developing in this area, i.e. within government e-adminis- tration.

4.4The knowledge situation

Several general observations are made in the literature review carried out by Lund University referred to above concerning knowledge in the research field of digitalisation and privacy. We believe that their observations are also significant outside the academic environments and reflect general tendencies.

The review shows that research into digitalisation and privacy is relatively strictly divided between three main academic fields. The first is a technical field that is largely about systems development. The second is a legal field focusing on questions of legislative protec- tion for privacy. The third is a more general field in the social sciences which encompasses subjects including informatics, psychology, marketing and management research. What all three fields have in common is that researchers in each respective field only rarely show interest in what is going on in any of the others. Another issue that has also emerged is that in research into privacy there is no shared conceptual apparatus or shared methods for the different scientific fields and disciplines.

The observations in the review may partly help to explain why problems that arise in law (e.g. data being processed for new purposes that are incompatible with the original purposes for which they were gathered) do not to a greater extent draw on the field of technology

132

5 Den personliga integriteten

5.1Inledning

I kommitténs uppdrag ingår att utifrån ett individperspektiv kartlägga och analysera sådana faktiska och potentiella risker för intrång i den personliga integriteten som kan uppkomma i samband med använd- ning av informationsteknik i såväl privat som offentlig verksamhet.

Vad som egentligen avses med begreppet personlig integritet är en ständigt återkommande fråga. Någon allmängiltig definition av be- greppet finns inte i svensk lagstiftning. Inte heller direktiven inne- håller någon definition av vad som avses. Den engelska termen privacy1, som många gånger anses motsvara det svenska begreppet personlig integritet, har beskrivits som ett kameleontliknande ord som används för att ge goodwill åt ett stort antal olika intressen – från sekretess för personuppgifter till reproduktiv autonomi.2 Judith Jarvis Thomson3 har till och med gett uttryck för uppfattningen att det mest slående med ”the right to privacy” kanske är att ingen verkar ha en klar bild av vad det är.

Ordet integritet kommer från det latinska ordet integer som be tyder orörd, hel.4 I Svenska Akademiens ordlista beskrivs ordet in tegritet som ”orubbat tillstånd; okränkbarhet; oberoende”. Som anges i direktiven brukar begreppet personlig integritet i vardagligt tal användas för att beteckna individens värde och värdighet.

1 Dock torde termen privacy egentligen ha en något vidare mening än vad som oftast åsyftas med begreppet personlig integritet, och även innefatta personligt oberoende och självständighet (Integritetsskyddskommitténs betänkande Skyddet för den personliga integriteten, SOU 2007:22 s. 53).

2 Lilian R. BeVier, Information About Individuals in the Hands of Government: Some Reflections on Mechanisms for Privacy Protection.

3 The Right to Privacy ur Philosofical Dimensions of Privacy: An Anthology.

4 Se t.ex. Kommitténs om genetisk integritet betänkande Genetik, integritet och etik, SOU 2004:20 s. 106.

135

Den personliga integriteten

SOU 2016:41

Detta kapitel innehåller en beskrivning av ett antal teorier om personlig integritet samt en redogörelse för hur det har tolkats i vissa tidigare lagstiftningsarbeten. Slutligen redovisas hur begreppet an- vänds i detta betänkande.

5.2Teorier om personlig integritet

5.2.1Inledning

Personlig integritet diskuteras ofta utifrån ett rättighetsperspektiv och utifrån vad som utgör en kränkning av den. Uppfattningen om vad som omfattas av den personliga integriteten har varierat över tid. En vid tolkning utifrån rättighetskatalogen i regeringsformen eller Europakonventionen brukar omfatta rumslig integritet (hemfrid), materiell integritet (egendomsskyddet), kroppslig integritet (skydd för liv och hälsa, mot ingrepp i eller mot kroppen, kroppsvisitation, kroppsbesiktning m.m.), personlig integritet i fysisk mening (per- sonlig frihet och rörelsefrihet) och den personliga integriteten i ideell mening (skyddet för personligheten och för privatlivet inklu- sive den privata ekonomin). I konsekvens med detta brukar rätten till personlig integritet beskrivas som den enskildes rätt till en privat sfär som är skyddad från fysiska och psykiska intrång.

Många gånger handlar personlig integritet om möjligheten att kontrollera spridning och användning av personlig information. Vilken information som vi vill hålla för oss själva eller dela med andra varierar efter sammanhang. En uppgift som inte är känslig i det sammanhang där den lämnas ut, kan vidare bli känslig t.ex. om den sammanställs med andra uppgifter. Även skälen till att vi vill hålla information för oss själva varierar. Det kan bl.a. handla om vardagliga och sociala behov som att göra skillnad mellan olika relationer och skydda oss från generande situationer, men också i mer utsatta situa- tioner om skydd för t.ex. vår åsiktsfrihet, vår fysiska säkerhet eller rättssäkerhet. Ibland vill vi också begränsa tillgången till information om oss av strategiska skäl, t.ex. i en förhandlingssituation.5 Vad vi anser höra till vår personliga sfär varierar också mellan individer, och förändras dessutom över tid.

5 Se vidare Markus Bylund, Personlig integritet på nätet, s. 8 f.

136

SOU 2016:41

Den personliga integriteten

Inom filosofin har olika aspekter på syftet med den personliga in- tegriteten behandlats. Från ett libertarianskt perspektiv har ansetts att det är en fråga om individens makt över sitt eget liv och ett begrän- sande av myndigheters godtyckliga makt, av självförverkligande skäl. Det egalitära perspektivet har däremot framhållit att den personliga friheten även gynnar kollektivet, genom att den möjliggör utövandet av grundläggande rättigheter som yttrande- och organisationsfrihet.6

Daniel J. Solove7 vid George Washington University Law School har delat in olika teoribildningar kring den personliga integriteten i ett antal kategorier. Kategorierna innebär en generalisering och över- lappar till viss del varandra, men visar ändå på skillnader i de olika synsätten.

5.2.2Rätten att bli lämnad i fred

Det första synsättet handlar om rätten att bli lämnad i fred (the right to be let alone). Detta synsätt genomsyrar Samuel D. Warrens och Louis D. Brandels artikel i Harvard Law Review år 1890 med titeln The Right to Privacy, vilken torde vara en av de mest kända skrifterna om personlig integritet. Bakgrunden till artikeln var den teknik utveckling som då var aktuell. Tillgängligheten av kameror för privat personer, mindre och billigare än tidigare, och tryckpressar hade möjliggjort en ökad spridning av information om enskildas privatliv. Tillsammans med tidningarnas ”affärsmetoder” – på bara några år tionden hade antalet tidningar ökat från 100 som lästes av 800 000 per- soner till 800 tidningar med 8 000 000 läsare – ledde detta enligt Warren och Brandels till ett ökat behov av skydd för privatlivet och, som det uttrycktes, ”the right to be let alone”. Vad som ansågs om- fattas av denna rätt att vara i fred framgick dock mindre klart.8 Synen på vad som är privat har sedan dess förändrats och dagens tekniska företeelser – t.ex. sakernas internet (Internet of Things), big data, möjligheterna till avlyssning och lagring av trafikdata – innebär helt andra utmaningar.

6 Bylund, s. 18.

7 Daniel J. Solove, Understanding Privacy.

8 Se vidare Understanding privacy s. 17.

137

Den personliga integriteten

SOU 2016:41

5.2.3Oönskad tillgång till jaget

Ett annat sätt att se på integritet innebär att individen ska ha möjlig- het att värja sig mot oönskad tillgång till ”jaget” (limited access to the self). Sissela Bok har beskrivit detta som ett skydd mot att andra får oönskad åtkomst genom fysiskt tillträde, personlig information, eller uppmärksamhet.9 Ernest Van Den Haag har uttryckt sig på lik- nande sätt. Enligt honom är rätten till privatliv en persons exklusiva rätt till en privat sfär där han eller hon har rätt att hindra andra från att titta, utnyttja eller invadera (inkräkta på, eller på annat sätt på- verka). Något förenklat kan personlig integritet enligt detta synsätt sägas handla om att begränsa andras tillgång till det som är privat.10

Skyddet för den privata sfären har ibland betraktats som något vi har en slags moralisk äganderätt till. Det vi äger får vi hantera som vi vill, så länge vi inte kränker andras motsvarande rätt. Vi kan dock ge upp denna rätt, t.ex. genom att exponera oss för andra i en offentlig miljö.11

5.2.4Hemlig information

I tredje kategorin ryms teorier som går ut på att offentliggörande av information som inte tidigare avslöjats innebär en kränkning av den personliga integriteten (secrecy, the concealment of certain matters from others). Mot detta synsätt har riktats kritik bl.a. på den grun- den att vilken information som är känslig, dvs. som vi vill hålla för oss själva, kan variera efter sammanhang och dessutom fylla olika syften. Att vi har delat med oss uppgifter om oss själva till en viss begränsad krets innebär inte nödvändigtvis att vi vill dela den med andra personer.12

Bland annat Helen Nissenbaum förespråkar en mer kontextuell syn på integritet, eftersom vad som är känsligt kan variera över tid, i olika situationer och mellan personer.13 Det har även anförts att den

9 Sissela Bok, Secrets: On the Ethics of Concealment and Revelation, s. 10 f.

10 Se vidare Solove s. 18 f.

11 Torbjörn Tännsjö, Privatliv, s. 53 f. med hänvisningar. 12 Se vidare Solove s. 21 f.

13 A Contextual Approach to Privacy Online.

138

SOU 2016:41

Den personliga integriteten

personliga integriteten snarare är en process än något statiskt, där frågan om vad som ska vara publikt eller privat avgörs med utgångs- punkt i varje enskild situation.14

5.2.5Kontroll över egna uppgifter och Strömholms kränkningsförteckning

Många teorier om personlig integritet handlar om individens kontroll över uppgifter om henne eller honom (control over personal informa tion – the ability to exercise control over information about oneself).15 Ett känt exempel är Alan Westin, som tog sin utgångspunkt i den en- skildes rätt att kontrollera utflödet av personlig information och som såg utflöde av personlig information som en integritetsförlust. Westin anför bl.a. att ”privacy” är individers, gruppers eller institutioners anspråk på att själva bestämma när, hur, och i vilken utsträckning in- formation om dem kommuniceras till andra.16 Från detta synsätt på integritet kan paralleller dras till det juridiska krav på samtycke för behandling av personuppgifter, som många gånger uppställs i lagstift- ning. Krav på samtycke kan vara ett sätt att ge individen kontroll över hur personuppgifter behandlas.

Alan Westin pekade ut fyra speciella funktioner som ett rättsligt skydd för individens privata sfär bör tillgodose, och som återgavs av Stig Strömholm.17 Enligt vad som anfördes behövs en ”right to privacy” för känslan av personlig självbestämmanderätt, för att uppnå känslomässig avkoppling, för att kunna genomföra en fri värdering av andras och inte minst eget handlande, och slutligen för att kommuni- cera fritt med andra efter eget val. Strömholm pekade på olika fak torer som innebär ökade risker för integritetsintrång, däribland de utökade möjligheter till övervakning och behandling av obegränsade informationsmängder som den tekniska utvecklingen inneburit. Som en negativ bestämning av integritetsbegreppet gjorde Strömholm en förteckning över vad han ansåg kunde utgöra integritetskränkningar, vilka i sin tur kan delas in i tre huvudgrupper:

14 Se bl.a. Markus Bylund, a.a., s. 24 f. med hänvisningar. 15 Solove s. 24 f.

16 Alan Westin, Privacy and Freedom, 1967.

17 Individens skyddade personlighetssfär (ur antologin Om våra rättigheter; se även SvJT 1971 s. 698 f).

139

Den personliga integriteten

SOU 2016:41

1.intrång i en annan persons privata sfär,

2.insamlande av uppgifter om en persons privata förhållanden, och

3.offentliggörande och annat utnyttjande av material om en per- sons privata förhållanden.

Enligt Strömholm kunde ”privatsfären” eller ”integritetssfären” kränkas genom 14 närmare angivna handlingar.18 Grovt sammanfat- tat skulle denna privata sfär vara

en beteckning för den enskildes intresse av att själv och ensam så att säga reglera dels flödet av den information som utgår beträffande hans förhål- landen, dels utnyttjandet av sådan information samt av speciella identifika- tionsdata (namn, bild, röst).

5.2.6Det att vara människa

Det finns även en teori enligt vilken den personliga integriteten ses som ett sätt att skydda ”det att vara människa” (personhood).19 Edward Bloustein har beskrivit det som att det är individualiteten som skyddas, medan Jeffrey Reiman har gett uttryck för uppfatt- ningen att den personliga integriteten skyddar individens intresse av att bli, vara och förbli en person. Stanley Benn betonar att den personliga integriteten handlar om att respektera individens beslut. Även USA:s högsta domstol har framhållit att den personliga in tegriteten bl.a. innebär att det ska finnas utrymme att själv fatta vissa viktigare beslut.20

18 De 14 handlingarna som kan kränka den privata sfären är enligt Strömholm 1) tillträde till och genomsökande av privata lokaler eller annan egendom, 2) kroppsundersökning, 3) medi- cinska undersökningar, psykologiska tester osv., 4) intrång i en persons privata sfär genom skuggning, spionerande, telefonterror o.d., 5) som ett speciellt kvalificerat eller, genom sina möjliga konsekvenser, speciellt farligt särfall till grupperna 1 och 4, ofredande genom före trädare för massmedierna, t.ex. i form av ”snokreportage”, men även påträngande och brutala intervjuer av olycksoffer, dessas anhöriga eller eljest personer, som har svårt att värja sig, 6) olovlig ljudupptagning, fotografering eller filmupptagning, 7) brytande av brevhemlighet, 8) telefonavlyssning, 9) utnyttjande av elektronisk avlyssningsapparatur, 10) spridande av för- troliga uppgifter (t.ex. genom advokater, läkare, själasörjare), 11) avslöjande inför offentlig heten av annans privata förhållanden, 12) olika former av utnyttjande av annans namn, bild eller liknande identifieringsmedel, 13) missbruk av annans ord eller meddelanden (exempelvis genom förvrängda eller helt uppdiktade intervjuer), och 14) angrepp på annans heder och ära.

19 Översättningen av termen personhood från engelska till svenska, ”det att vara människa”, är hämtad från Nationalencyklopedin.

20 Se vidare Solove s. 29 f.

140

SOU 2016:41

Den personliga integriteten

5.2.7Förhållandet mellan människor

En annan teori som har blivit allt populärare brukar kallas ”intimacy”, dvs. intimitet. Enligt den teorin handlar personlig integritet inte bara om individens självförverkligande, utan också förhållandet mellan människor. Robert Gerstein hävdar t.ex. att intima förhållanden inte skulle kunna existera om vi inte höll fast vid att de skulle vara privata.21

Irvin Altman har beskrivit samvaron med andra människor som en funktion av personlig integritet. Enligt Altmans synsätt är in tegriteten en process, snarare än ett tillstånd, där målet är att i varje stund uppnå optimal balans mellan det publika och det privata. Indi- viden behöver ha möjlighet att i varje ögonblick avgöra vad som är privat respektive publikt, eftersom det är något som varierar utifrån förutsättningarna som råder för stunden. Processen bestäms inte bara utifrån individens subjektiva preferenser utan även i samspel med övriga inblandade parter. Synen på personlig integritet som pro- cess sätter alltså fokus på att skapa handlingsutrymme för att konti- nuerligt reglera vad som är privat respektive publikt. Att på förhand bestämma att en viss sorts personuppgifter ska vara privat eller publikt är ointressant, eftersom det beror på så många olika faktorer i sammanhanget.22

5.3Behandling av begreppet i tidigare lagstiftningsarbeten

5.3.1Inledning

Det kan konstateras att synen på den personliga integriteten skiljer sig åt, såväl när det gäller vad som omfattas som vilka syften den har. Begreppets innebörd har behandlats i olika lagstiftningssamman- hang. Fram till den grundlagsändring som gjordes år 2011 var ut- vecklingen av integritetsskyddet framför allt inriktad på att förbjuda företeelser som inte ansågs försvarbara efter beaktande av dels den skada de skulle innebära för den personliga integriteten, dels de mot- stående intressen – t.ex. brottsbekämpning och intresset av offent-

21 Se vidare Solove s. 34 f.

22 Se vidare Bylund s. 24 f.

141

Den personliga integriteten

SOU 2016:41

lighet – som funnits att beakta.23 I detta avsnitt redovisar vi ett antal utredningar som har övervägt innebörden av begreppet personlig in- tegritet ur ett mer generellt perspektiv.

5.3.21966 års integritetsskyddskommitté och Yttrandefrihetsutredningen

Bland äldre utredningar kan särskilt nämnas 1966 års integritets- skyddskommitté som hade i uppdrag att utreda frågor om förstärkt integritetsskydd på personrättens område. Utöver sitt slutbetän- kande Privatlivets fred24 lämnade kommittén tre delbetänkanden om skydd mot avlyssning, olovlig fotografering och kameraövervakning samt reklam och integritet. I slutbetänkandet behandlades problem som är förenade med intrång i privatlivet genom användning och spridning av integritetskränkande material. Kommittén lyfte särskilt fram intrång i privatlivet som uppstår genom att uppgifter av privat natur sprids av massmedierna press, radio och TV samt den konflikt som ofta uppstår mellan intresset att skydda den enskildes privatliv å ena sidan, och massmediernas intresse och uppgift att säkerställa ett fritt meningsutbyte och en allsidig upplysning i samhället å andra sidan. Enligt kommittén torde grundtanken med personlig integritet kunna uttryckas så, att den enskilde kan göra anspråk på en fredad privat sektor inom vilken han kan avvisa inblandning från utom stående. Integritetsbegreppet ansågs i det sammanhanget vara lik tydigt med den enskildes anspråk på att information om hans privata angelägenheter inte ska vara tillgänglig för eller få begagnas av utom- stående utan hans vilja.25

Slutbetänkandet lämnades vidare till Yttrandefrihetsutredningen för att beaktas i denna kommittés arbete. I deras betänkande26 be- handlades bl.a. frågan om kriminalisering av kränkningar av privat livets fred. Kommitténs bedömning var att en sådan kriminalisering inte borde införas och framhöll att hänsynen till den personliga in tegriteten hade fått stort utrymme i olika lagstiftningssammanhang, bl.a. den dåvarande sekretesslagen (1980:100).

23 SOU 2007:22 s. 52.

24 1966 års integritetsskyddskommittés slutbetänkande Privatlivets fred, SOU 1980:8. 25 SOU 1980:8 s. 9.

26 Yttrandefrihetsutredningens betänkande Värna yttrandefriheten, SOU 1983:70.

142

SOU 2016:41

Den personliga integriteten

5.3.3Data- och offentlighetskommittén

Data- och offentlighetskommittén hade i uppdrag att utreda bl.a. an- vändningen av personnummer inom den offentliga och den enskilda sektorn samt problem som var förenade med offentlighetsprincipens tillämpning på upptagningar för automatisk databehandling. I del betänkandet27 föreslog kommittén bl.a. att ett skydd för den enskildes personliga integritet i datasammanhang skulle skrivas in i regerings- formens fri- och rättighetskatalog, vilket senare också gjordes. Kom- mittén framhöll att det rests krav på ett stärkt skydd mot intrång i medborgarnas personliga integritet, i takt med att den tekniska ut- vecklingen på dataområdet fortskridit och uppgifter om medborgarna samlas och bearbetas med hjälp av automatisk databehandling i allt fler sammanhang och allt större uträckning. Mot bakgrund av risken för otillbörliga intrång i den personliga integriteten ansågs det vara väsent ligt att visa vilken vikt samhället tillmäter integritetsfrågorna.

Efter en kort genomgång av olika försök i lagstiftning och doktrin att definiera begreppet personlig integritet konstaterade kommittén att det i dessa nästan alltid framhålls ett moment av självbestämmande för den enskilde, inbegripet en rätt för den enskilde att själv be- stämma vilka uppgifter om sig själv och sina personliga förhållanden som han ska lämna ifrån sig och även hur dessa uppgifter ska använ- das och spridas. En annan gemensam utgångspunkt som konstate rades var den enskildes rätt till en fredad sektor.28

I betänkandet lyftes fram omständigheter som ansågs vara av be- tydelse för att få en uppfattning om begreppet integritet. Mot dessa faktorer skulle ställas de krav som samhället har och en rimlig avväg- ning göras från fall till fall. Enligt kommittén var de omständigheter som främst gjorde sig gällande för den personliga integriteten arten av de personuppgifter som inhämtas och registreras, hur dessa upp- gifter används, av vem de används, varför de används, hur de sprids samt mängden av uppgifter som samlas på ett och samma ställe. Vidare framhöll kommittén betydelsen av att de insamlade upp gifterna var korrekta och aktuella.29

27 Data och offentlighetskommitténs delbetänkande Integritetsskyddet i informationssamhället 3, Grundlagsfrågor Ds Ju 1987:8.

28 Ds Ju 1987:8. s. 25.

29 Ds Ju 1987:8, s. 32.

143

Den personliga integriteten

SOU 2016:41

5.3.4Skyddet för enskilda personers privatliv – En studie

Justitierådet Per Jermsten fick 1992 i uppdrag att utreda vissa frågor angående skyddet för enskilda personers privatliv. Uppdraget redo- visades i departementspromemorian Skyddet för enskilda personers privatliv – En studie30 och inriktades på den personliga integriteten i ideell mening. En särskild anledning till den ökande oron gällande den personliga integriteten som lyftes fram i promemorian var den insamling, lagring och användning av uppgifter om enskilda personer och deras förhållanden som pågick inom både offentlig och privat verksamhet, liksom den ökande ansamlingen av personrelaterade data i register och arkiv. Sett mot bakgrund särskilt av den snabba tekniska utvecklingen i fråga om bl.a. bearbetning och överföring av uppgifter var det enligt utredaren knappast förvånande att oron för ett otillbörligt och kränkande utnyttjande av uppgifterna ökade.

När det sedan gäller den återkommande frågan om vad som avses med begreppet personlig integritet anfördes följande.31

Ifrågavarande problem, som ingalunda är specifikt hos oss, har till en början sin grund i den mångfald förfaranden som kan utgöra eller upplevas som ett angrepp på någons person eller privata sfär. När det sedan gäller att avgränsa vad som ytterst bör ingå i det skyddsvärda området tillkommer den kompli- kationen att det inte sällan blir fråga om avvägningar som i viss mån beror på upplevelser, känslor och värderingar, dvs. som kan vara påfallande subjek- tiva. Till detta kommer att uppfattningen om vad som hör, eller bör höra till den personliga integriteten, privatlivets helgd, den privata sfären – eller andra liknande, sammanfattande termer för vad det här ungefär är fråga om

– förändras med tidens gång och den allmänna samhällsutvecklingen. Det är med andra ord svårt att ge ett sådant begrepp en tydligare avgränsning än att det innefattar vad som normalt framstår som angeläget att värna om för att den enskilde skall vara tillförsäkrad en rimlig, fredad, privat zon.

5.3.5Integritetsutredningen

I betänkandet Personlig integritet i arbetslivet anförde Integritets utredningen följande angående vad som egentligen innefattas i be- greppet personlig integritet.32

30 Ds 1994:51.

31 Ds 1994:51 s. 8 f.

32 Integritetsutredningens betänkande Personlig integritet i arbetslivet, SOU 2002:18.

144

SOU 2016:41

Den personliga integriteten

Utredningen har gjort en genomgång av åtskillig svensk och utländsk littera tur i ämnet för att söka finna svaret på denna fråga. Det har emellertid visat sig att begreppet personlig integritet inte är så lättfångat. Stora ansträng- ningar har gjorts för att definiera det men någon kortfattad generell konkre- tisering av begreppets språkliga innebörd har utredningen inte kunnat finna. Men som en klar gemensam nämnare framstår i vart fall uppfattningen att begreppet personlig integritet innebär att alla människor har rätt till en per- sonlig sfär där ett oönskat intrång, såväl fysiskt som psykiskt, kan avvisas.

De flesta människor har också en bestämd uppfattning om vad personlig integritet innebär för deras egen del och de uttrycker detta mestadels på motsvarande sätt som nyss nämnts. Men uppfattningen om storleken av den privata sfären kan variera kraftigt mellan olika människor beroende fram- för allt på deras kulturella, etniska, religiösa och sociala bakgrund. Om- fånget av den personliga sfären uppfattas inte heller som statiskt, inte ens för den egna individen, utan kan förändras med hänsyn till bl.a. vunna erfa- renheter och den aktuella situationen.

5.3.6Personuppgiftslagsutredningen

I betänkandet Översyn av personuppgiftslagen33 behandlade Person- uppgiftslagsutredningen begreppet personlig integritet, med en sär- skild inriktning på automatiserad behandling av personuppgifter. Utredningen pekade bl.a. på resultat från undersökningar som visat att människor upplevde det som obehagligt att deras personuppgifter flödade fritt utom deras kontroll, oavsett om uppgifterna i någon mening missbrukades eller om de själva råkade ut för något negativt på grund av att uppgifterna användes.34 Det framhölls att personlig integritet kan vara att slippa få vissa personliga uppgifter – sådana som det finns rimliga skäl att beteckna som integritetskänsliga – om sig själv spridda till andra människor. Som så många andra konstaterade dock utredningen att svårigheten att definiera begreppet positivt ofta lett till att man i stället försöker identifiera vad som konstituerar en kränkning av den personliga integriteten. Vidare konstaterades att rätten till personlig integritet inte är absolut, utan att skyddet måste vägas mot andra grundläggande rättigheter och värden och under vissa förutsättningar bli föremål för inskränkningar.35

33 Personuppgiftslagsutredningens betänkande Översyn av personuppgiftslagen, SOU 2004:6.

34 Se även Datalagskommitténs betänkande Integritet, offentlighet, informationsteknik, SOU 1997:39 s. 183 f.

35 SOU 2004:6, s 28 f.

145

Den personliga integriteten

SOU 2016:41

5.3.7Integritetsskyddskommittén

Integritetsskyddskommittén hade i uppdrag att kartlägga och analy- sera sådan lagstiftning som rör den personliga integriteten, att över- väga om regeringsformens bestämmelse om skydd för den personliga integriteten i 2 kap. 3 § andra stycket borde ändras samt att överväga om det vid sidan av befintlig lagstiftning borde finnas generellt til - lämpliga bestämmelser till skydd för den personliga integriteten. Efter en redogörelse över hur begreppet behandlats i tidigare samman hang, framför allt i olika lagstiftningsarbeten, konstaterade kommit- tén i sitt slutbetänkande36 att det inte är möjligt eller i vart fall inte meningsfullt att försöka ge en positiv bestämning av den personliga integriteten, dvs. att formulera en beskrivning som pekar ut alla de situationer i vilka individen har en rätt att få sin integritet respekterad och skyddad. Enligt kommitténs mening kunde det däremot urskiljas vissa moment i den personliga integriteten som är av grundläggande betydelse när rättighetsinskränkande åtgärder övervägs.

Det måste för det första alltid finnas en rätt till skydd som tar sikte på indi- videns kroppsliga integritet, på den enskildes privata tankar och förtroliga kommunikation med andra samt på den enskildes möjligheter att själv av- göra om andra skall få ta del av känsliga uppgifter som rör t.ex. hälsa eller sexualliv. För det andra måste det alltid finnas ett skydd för rätten att stänga om sig, dvs. utgångspunkten måste vara att den enskilde skall vara fri att kunna avskärma sig från omgivningen. Dessa särskilt viktiga beståndsdelar i skyddet för en människa integritet har utgjort kommitténs principiella ut- gångspunkter för dess överväganden rörande behovet av ny lagstiftning och vad denna bör ta sikte på.37

Efter att ha analyserat lagstiftning som berör den personliga integri- teten föreslog Integritetsskyddskommittén bl.a. ett stärkt grund- lagsskydd för den personliga integriteten, på så sätt att rätten till personlig integritet gavs självständig betydelse och inte bara – som tidigare – var en funktion av skyddet för främst den fria åsiktsbild- ningen. Förslaget ledde sedan till att det i 2 kap. 6 § andra stycket regeringsformen infördes en bestämmelse som anger att var och en, utöver vad som i övrigt gäller enligt paragrafen, gentemot det all- männa är skyddad mot betydande intrång i den personliga integri teten som görs utan samtycke och innebär övervakning eller kart-

36 Integritetsskyddskommitténs slutbetänkande Skyddet för den personliga integriteten, Bedömningar och förslag, SOU 2008:3.

37 SOU 2008:3, s. 14 f.

146

SOU 2016:41

Den personliga integriteten

läggning av den enskildes personliga förhållanden. I propositionen anslöt sig regeringen till kommitténs utgångspunkter och anförde bl.a. följande.

Någon entydig och allmänt accepterad definition av begreppet synes svår att finna. Möjligen kan det sägas att kränkningar av den personliga integriteten utgör intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där intrång bör kunna avvisas. Som Integritetsskyddskommittén framhåller är det emellertid knappast nödvändigt att formulera en allmängiltig defini- tion av begreppet personlig integritet för att kunna bedöma vilka intressen som har ett sådant skyddsvärde att de bör omfattas av ett särskilt starkt skydd mot omotiverade ingrepp. Integritetsskyddskommittén bedömer be- hovet av ett utökat skydd för den personliga integriteten i första hand ut ifrån den enskildes intresse av att skydda information om sina personliga förhållanden. Regeringen anser att detta är en rimlig utgångspunkt för en utvidgning av integritetsskyddet i regeringsformen.38

Regeringen anförde även att uttrycket information om enskildas per- sonliga förhållanden var avsett att ha samma innebörd som i tryck frihetsförordningen och offentlighets- och sekretesslagen (2009:400). Som exempel på sådant som kunde omfattas av regleringen nämndes personliga identifikationsuppgifter samt uppgifter om adress, familje förhållanden, hälsa och vandel, anställning och ekonomi samt foto- grafiska bilder.39

5.4Personlig integritet i detta betänkande

5.4.1Begreppets innebörd

Det framstår som mycket tveksamt om någon precis men ändå all- mängiltig definition av begreppet personlig integritet är möjlig att slå fast. Än svårare är det att åstadkomma detta i lagstiftning. Skälet till att begreppet inte låter sig fångas i en tydlig sentens är att rätten till en privat sfär inte är absolut, utan relaterad till en rad olika omständig heter, som dessutom kan variera över tid. Kommittén delar därför slutsatsen i tidigare omnämnda Ds 1994:51:

38 Regeringens proposition En reformerad grundlag, prop. 2009/10:80 s. 175. 39 Prop. 2009/10:80 s. 177.

147

Den personliga integriteten

SOU 2016:41

Det kan också konstateras att de flesta länders rättsordningar saknar en sådan definition, även om försök har gjorts på vissa håll.40 Det kan även ifrågasättas om det finns behov av en exakt definition eller om det mest ändamålsenliga är att från fall till fall avgöra omfattningen av det skydd för integriteten som numera finns uttryckt i regerings- formen.41 Samtidigt måste innebörden vara tillräckligt tydlig för att det ska vara möjligt att avgöra vad som innebär en kränkning eller ett otillbörligt intrång.

Kommitténs uppdrag att utifrån ett individperspektiv kartlägga och analysera faktiska och potentiella risker för intrång i den person- liga integriteten är enligt direktiven begränsat till att omfatta sådana intrång i den personliga integriteten som kan uppkomma i samband med användning av informationsteknik, dvs. i samband med använd- ning av de tekniska möjligheter som skapats genom framsteg inom datorteknik och telekommunikation. Kommitténs kartläggning ska således ta sikte på faktiska och potentiella risker för intrång i den personliga integriteten i ideell mening, dvs. i första hand digital insam- ling, användning och spridning av uppgifter – inklusive bilder – om enskilda och deras personliga förhållanden.

En utgångspunkt för kartläggningen har varit den enskildes rätt till privata tankar och förtrolig kommunikation med andra, samt den enskildes möjligheter att själv avgöra vem som i olika sammanhang ska få ta del av uppgifter som rör denne. I den rätten ligger även ett skydd mot registrering, spridning eller annan behandling av fel aktiga, kränkande eller påhittade uppgifter.

5.4.2Intrång i den personliga integriteten

Modern teknik gör det möjligt att behandla omfattande mängder uppgifter, som förhållandevis enkelt och snabbt också kan få en närapå obegränsad spridning över t.ex. internet. Behandling av personuppgifter med informationsteknik innebär därför särskilt stora risker ur ett integritetsperspektiv.

Intrång i den personliga integriteten kan ha olika syften, göras på olika sätt och av olika aktörer. Ett intrång kan vara såväl legitimt som otillbörligt och det kan också vara förenligt eller oförenligt med

40 Jfr bl.a. Ds Ju 1987:8 s. 27 f. och SOU 2008:3 s. 14. 41 Jfr SOU 2007:22 Del 1 s. 52.

148

SOU 2016:41

Den personliga integriteten

gällande lagstiftning. Intrång kan förekomma internt inom en orga- nisation eller göras utifrån. Det kan också göras med uppsåt eller oavsiktligt.

Statens intrång i den personliga integriteten kan, med de utgångs- punkter som nämns ovan, bestå i exempelvis en alltför omfattande insamling av uppgifter eller att insamlade uppgifter används för ett ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Det kan också handla om att uppgifter behandlas för länge på grund av att gallring inte görs i tid. Staten skulle även kunna begå sådana intrång genom t.ex. hemlig avlyssning, filmning/kamera övervakning och fotografering, övervakning av elektronisk kom munikation samt registrering, spridning och annan behandling av känsliga personuppgifter om t.ex. hälsa och sexualliv.

Privata aktörer, bl.a. enskilda personer och företag, kan begå in- trång i den personliga integriteten på motsvarande sätt. En tjänste leverantör som överför eller lagrar elektronisk kommunikation (t.ex. e-post eller inlägg på sociala medier) kan t.ex. begå intrång genom att samla in, använda eller sprida kundernas kommunikation. Vidare kan enskilda personer kränka andra enskildas personliga integritet genom att exempelvis sprida nedsättande uppgifter om dem, oavsett om uppgifterna i sig är sanna eller påhittade.

Kommitténs bedömning av intrång i den personliga integriteten

När ett intrång i den personliga integriteten ska bedömas måste en avvägning göras utifrån berörda intressen. Faktorer som kommittén avser att beakta vid denna avvägning är bl.a. syftet med och behovet av det aktuella intrånget samt vilken nytta intrånget kan förväntas innebära. Detta ska ställas mot den inverkan som intrånget har för den enskilde. Denna inverkan är bl.a. beroende av graden av känslig- het, både avseende uppgifterna som sådana men också intrångets karaktär, jfr t.ex. rumsavlyssning. Sammanhanget och intrångets om- fattning är också av betydelse, dvs. hur många drabbas och ifall åtgärden är riktad mot en viss krets eller är helt urskillningslös. Möjligheten att uppnå det önskvärda syftet med hjälp av andra mindre ingripande alternativ bör också bedömas.

149

Det grundläggande rättsliga skyddet

SOU 2016:41

respekt för privatlivet ett skydd mot registrering och utlämnande av uppgifter ur allmänna register.3 Av Europadomstolens praxis fram- går vidare att artikel 8 ålägger staten såväl en negativ förpliktelse att avstå från att göra intrång i rätten till respekt för privat- och familje- livet som en positiv förpliktelse att skydda enskilda mot att andra enskilda handlar på ett sätt som innebär integritetsintrång.4

Inom Europarådet har även antagits en särskild konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (den s.k. dataskyddskonventionen).

6.3EU:s rättighetsstadga

Europeiska unionens stadga om de grundläggande rättigheterna, som fogats till Lissabonfördraget, innehåller bestämmelser som är tänkta att återspegla medlemsstaternas gemensamma konstitutionella tradi- tioner och internationella åtaganden när det gäller grundläggande fri- och rättigheter. Stadgan innehåller bl.a. bestämmelser om skydd för den personliga integriteten.

I artikel 3 finns ett generellt stadgande om att var och en har rätt till fysisk och mental integritet. Där finns även vissa mer specifika bestämmelser om integritetsskydd inom medicin och biologi, bl.a. ett förbud mot reproduktiv kloning av människor. Enligt artikel 7 har var och en rätt till respekt för sitt privatliv och familjeliv, sin bo- stad och sina kommunikationer. Vidare innehåller artikel 8 bestäm- melser om skydd för personuppgifter. Där anges att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legi- tim och lagenlig grund. Var och en har vidare rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler följs.

3 Leander mot Sverige, nr 9248/81, och Segerstedt-Wiberg m.fl. mot Sverige, nr 62332/00.

4 Se t.ex. Airey mot Irland, dom den 9 oktober 1979, Serie A nr 32, samt X och Y mot Nederländerna, dom den 26 mars 1985, Serie A nr 91 och målet E.S mot Sverige, appl. no. 5786/08.

152

SOU 2016:41

Det grundläggande rättsliga skyddet

6.4Regeringsformen

Av målsättningsstadgandet i 1 kap. 2 § regeringsformen framgår att den offentliga makten ska utövas med respekt för den enskilda män- niskans frihet och värdighet samt att det allmänna ska värna den en- skildes privatliv och familjeliv. Vidare innehåller 2 kap. regerings formen bl.a. bestämmelser om skydd mot kroppsliga ingrepp samt om personlig frihet, rörelsefrihet och egendomsskydd. I 2 kap. 6 § föreskrivs ett skydd mot bl.a. husrannsakan och liknande intrång samt mot undersökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande. Även i övrigt är var och en, enligt samma paragraf, gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten som görs utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållan- den. I förarbetena till denna bestämmelse anförs bl.a. att kränkningar av den personliga integriteten utgör intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där ett oönskat intrång bör kunna avvisas.5

6.5Personuppgiftslagen

6.5.1Dataskyddsdirektivet

Personuppgiftslagen (1998:204) har sin grund i det s.k. dataskydds- direktivet6 som antogs 1995. Direktivet genomfördes i Sverige genom personuppgiftslagen och ett antal särregleringar i förhållande till denna lag. Syftet med direktivet är att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter samt att underlätta ett fritt flöde av personuppgifter mellan medlemsstaterna.

På EU-nivå finns även vissa kompletterande rättsakter, bl.a. när det gäller skydd av personuppgifter i frågor som rör polisiärt och straffrättsligt samarbete. Ett exempel på detta är rådets rambeslut

5 Regeringens proposition En reformerad grundlag, prop. 2009/10:80 s. 175; se även Reger ingens proposition Översyn av personuppgiftslagen, prop. 2005/06:173 s. 15.

6 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.

153

Det grundläggande rättsliga skyddet

SOU 2016:41

2008/977/RIF om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskydds- rambeslutet).

6.5.2Lagens tillämpningsområde

Genom personuppgiftslagen har dataskyddsdirektivet genomförts i svensk rätt. Personuppgiftslagen gäller vid behandling av person uppgifter i verksamheter som bedrivs av såväl enskilda som av myndigheter. Den gäller däremot inte om en fysisk person behandlar uppgifter helt privat. Lagen innehåller allmänna riktlinjer för behand- lingen av personuppgifter, oavsett ändamålet med behandlingen. Personuppgiftslagen ersatte den tidigare datalagen (1973:289).

Personuppgiftslagen är subsidiär i förhållande till annan lagstift- ning, vilket innebär att om det i en annan lag eller i en förordning finns bestämmelser som avviker från denna lag, ska de andra bestäm- melserna gälla. Sådana avvikande bestämmelser finns på en rad olika områden och är ofta begränsade till ett visst verksamhetsområde, en viss typ av register eller för ett särskilt register. Som exempel på sådana registerförfattningar kan nämnas lagen (2001:454) om behandling av personuppgifter inom socialtjänsten, patientdatalagen (2008:355) och polisdatalagen (2010:361). Utgångspunkten har varit att myndighets- register med ett stort antal registrerade och ett särskilt känsligt inne- håll ska regleras särskilt i lag.7

6.5.3Grundläggande krav för behandlingen

I 9 § personuppgiftslagen anges vissa grundläggande krav för all be- handling av personuppgifter. Det är den personuppgiftsansvarige som gentemot den registrerade ansvarar för att dessa grundläggande krav alltid uppfylls vid behandlingen.

Personuppgifter får behandlas bara om det är lagligt och behand- lingen ska alltid göras på ett korrekt sätt och i enlighet med god sed. Insamling och annan behandling av personuppgifter får endast göras för särskilda, uttryckligt angivna och berättigade ändamål. Ända målen med en behandling av personuppgifter måste alltså bestämmas

7 Se t.ex. Regeringens proposition Om offentlighet, integritet och ADB, prop. 1990/91:60 s. 58.

154

SOU 2016:41

Det grundläggande rättsliga skyddet

redan när uppgifterna samlas in. Det eller de ändamål som anges får inte vara alltför allmänt hållna. Som exempel kan nämnas att det har ansetts otillräckligt att ange kontroller som ändamål för loggning och övervakning; även syftet med kontrollerna måste anges med t.ex. övervakning av tekniska och säkerhetsmässiga skäl eller upp- följning av att interna regler följs.8

Enligt den s.k. finalitetsprincipen får uppgifterna efter att de sam- lats in inte behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Det innebär t.ex. att upp- gifter om anställda som samlas in för att utgöra underlag för presta- tionslön inte får användas för att i realtid övervaka hur de utför sina arbetsuppgifter och när de tar raster.9 Det innebär också att möjlig- heterna till s.k. samkörning av register begränsas. Vidare följer en skyldighet för den personuppgiftsansvarige att under hela tiden som uppgifterna behandlas hålla reda på för vilka ändamål varje person- uppgift har samlats in.10 Den personuppgiftsansvarige anses vara skyldig att se till att personuppgifter för olika ändamål inte blandas.11

Det krävs inte att en registrerad samtycker till eventuell behand- ling för nya ändamål som inte är oförenliga med det ursprungliga ändamålet eller att ny information lämnas till den registrerade. Ett utlämnande av personuppgifterna till annan måste emellertid vara förenligt med de ursprungliga ändamålen. Vid bedömningen av detta krävs att man beaktar vad den som vill ha ut uppgifterna ska använda dem till och jämföra den tilltänkta användningen med de ursprung- liga ändamålen.12 Den som har fått ut uppgifterna anses däremot inte vara bunden av de ändamål som ursprungligen bestämts av den personuppgiftsansvarige som lämnat ut uppgifterna.13

Det finns vidare krav på att personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behand- lingen. Det innebär att ovidkommande uppgifter inte får behandlas. De behandlade personuppgifterna ska vidare vara riktiga och aktu-

8 Datainspektionens rapport 2005:3 s. 14.

9 Datainspektionens beslut den 27 juni 2007, dnr 87-2207.

10 Sören Öman och Hans-Olof Lindblom, Personuppgiftslagen – En kommentar, fjärde upp- lagan, s. 203.

11 Regeringens proposition Omreglering av apoteksmarknaden, prop. 2008/09:145 s. 336. 12 Regeringens proposition Effektivare pantbrevshantering m.m, prop. 2002/03:57 s. 26). 13 Öman och Lindblom, s. 204.

155

Det grundläggande rättsliga skyddet

SOU 2016:41

ella. Uppgifterna får inte heller vara fler än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Även för bedöm- ningen av detta krävs att ändamålet har preciserats i tillräcklig grad.

Om kraven på behandlingen av personuppgifter inte uppfylls ska den personuppgiftsansvarige vidta alla rimliga åtgärder för att ut- plåna, blockera eller rätta uppgifterna.

Slutligen gäller att personuppgifter inte får sparas längre än nöd- vändigt med hänsyn till de ändamål för vilka de behandlas. Därefter ska uppgifterna avidentifieras eller förstöras. Behandling för histo- riska, statistiska eller vetenskapliga ändamål får dock pågå under längre tid än vad som är nödvändigt med hänsyn till de ursprungliga ändamålen.

6.5.4Tillåten behandling

Personuppgiftslagen innehåller en uttömmande uppräkning av under vilka förutsättningar behandling av personuppgifter är tillåten (10– 12 §§). Som utgångspunkt gäller att personuppgifter endast får behand- las om den registrerade har lämnat sitt samtycke till det. Samtycket måste lämnas innan behandlingen påbörjas.14 Har den registrerade inte lämnat sitt samtycke till behandlingen krävs att den är nödvändig för något av vissa i lagen angivna ändamål. Det kan vara för att fullgöra ett avtal med den registrerade eller för att fullgöra en rättslig skyldighet, men också när det krävs för att vitala intressen för den registrerade ska kunna skyddas eller för att en arbetsuppgift av allmänt intresse ska kunna utföras. Slutligen får personuppgifter även behandlas om en intresseavvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av en behandling väger tyngre än den registrerades intresse av integritetsskydd. Som exempel på tillämpning av nämnda bestämmelse kan nämnas att Datainspektionen efter en intresse avvägning har ansett att det av trafiksäkerhetsskäl är tillåtet att logga personuppgifter om utandningsprov som lämnats av bl.a. bussförare i samband med arbetspass.15

Av 13 § personuppgiftslagen följer ett förbud mot behandling av känsliga personuppgifter. Känsliga personuppgifter definieras som uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter,

14 Jfr NJA 2005 s. 361.

15 Datainspektionens beslut den 12 januari 2011, dnr 500-2010.

156

SOU 2016:41

Det grundläggande rättsliga skyddet

religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Förbudet omfattar enligt 5 a § inte personuppgifter som inte ingår i eller är avsedda att ingå i struk- turerat material, dvs. en samling av personuppgifter som är tillgäng- lig för sökning eller sammanställning enligt särskilda kriterier.

I 14–19 §§ anges ett antal fall då känsliga uppgifter får behandlas trots förbudet i 13 §. Känsliga personuppgifter får till att börja med behandlas om den registrerade har samtyckt till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Vidare får känsliga person uppgifter behandlas om det är nödvändigt med hänsyn till vissa sär- skilt angivna ändamål, t.ex. för att den registrerades eller någon annans vitala intressen ska kunna skyddas och den registrerade inte kan lämna samtycke till behandlingen, eller för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Det finns även undantag för ideella organisationer med vissa syften. Omfattande undantag gäller också i fråga om behandling av känsliga person uppgifter för hälso- och sjukvårdsändamål samt för forsknings- och statistikändamål. Dessutom finns utrymme för regeringen, eller den myndighet regeringen bestämmer, att enligt 20 § meddela föreskrifter om ytterligare undantag från förbudet i 13 §, om det behövs med hän- syn till ett viktigt allmänt intresse. Sådana föreskrifter finns i 8 § personuppgiftsförordningen (1998:1191). Enligt den bestämmelsen får myndigheter generellt behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ärendet.

Enligt 21 § personuppgiftslagen är det som huvudregel förbjudet för andra än myndigheter att behandla sådana personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff processuella tvångsmedel eller administrativa frihetsberövanden. Uppgifter om personnummer och samordningsnummer får enligt 22 § behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identi fiering eller något annat beaktansvärt skäl. Med hänsyn till vikten av säker identifiering har det t.ex. ansetts motiverat att behandla personnummer i bl.a. vårdregister, inom socialtjänsten och i kredit- upplysningsverksamhet.16

16 Öman och Lindblom s. 347 med hänvisningar.

157

Det grundläggande rättsliga skyddet

SOU 2016:41

6.5.5Information och rättelse

I 23–27 §§ personuppgiftslagen finns bestämmelser som syftar till att trygga den enskildes rätt att kontrollera om behandling av person uppgifter om honom eller henne pågår. Om uppgifterna samlas in från personen själv ska den personuppgiftsansvarige självmant lämna information till den registrerade om behandlingen av uppgifterna. Har uppgifterna samlats in från någon annan än den enskilde, ska han eller hon informeras när uppgifterna registreras, eller, om avsikten med behandlingen är att lämna ut dem till tredje man, när uppgifterna lämnas ut första gången. Information behöver dock inte lämnas om det finns bestämmelser om registrerandet eller utlämnande av upp gifterna i författning eller om det skulle vara omöjligt eller kräva en oproportionerligt stor arbetsinsats att informera. Informationen ska omfatta uppgift om vem som är personuppgiftsansvarig, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med be- handlingen. Den personuppgiftsansvarige är vidare skyldig att efter ansökan, en gång per år, gratis informera om ifall, och i så fall vilka uppgifter om sökanden som behandlas, ändamålet med behandlingen, varifrån uppgifterna kommer och till vem de lämnas ut. Uppgifts skyldigheten omfattar dock inte alla uppgifter, bl.a. inte uppgifter som omfattas av sekretess eller tystnadsplikt gentemot den registrerade.

Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen, ska enligt 28 § på begäran av den registrerade rättas, utplånas eller block- eras av den personuppgiftsansvarige. Om felaktiga personuppgifter har lämnats ut till tredje man, ska denne i vissa fall informeras om korrigeringen.

6.5.6Säkerhet vid behandlingen

I 31 § personuppgiftslagen finns bestämmelser om säkerhet vid be- handling av personuppgifter. Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjlig-

158

SOU 2016:41

Det grundläggande rättsliga skyddet

heter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur känsliga de behandlade personuppgifterna är.

De tekniska möjligheterna handlar om vilka hjälpmedel som finns tillgängliga på marknaden. Tekniska system kan bl.a. innehålla funk- tioner för behörighetskontroll, förande av behandlingshistorik så- som loggning, och kryptering. De särskilda risker som finns med en behandling kan exempelvis vara beroende av antalet personer som de behandlade uppgifterna rör.17 Känsligheten hos personuppgifterna kan handla om arten hos de personuppgifter som behandlas, men även om andra faktorer som t.ex. mängden av uppgifter om enskilda personer.

Datainspektionen har utfärdat allmänna råd om säkerhet för personuppgifter. I dessa råd anges bl.a. att en personuppgiftsansvarig bör ha en fastställd säkerhetspolicy, i vart fall om en omfattande be- handling av personuppgifter utförs eller om känsliga personuppgifter behandlas, samt att kontroller bör genomföras för att säkerställa att riktlinjer och regler följs. Det kan bl.a. handla om system för be hörighetskontroll, för att säkerställa vilka anställda som får del av åtkomstskyddade personuppgifter. Det bör vidare finnas rutiner för rapportering och uppföljning av säkerhetsincidenter.18

Det är den personuppgiftsansvarige som ansvarar för säkerheten. Om ett personuppgiftsbiträde anlitas ska den personuppgifts ansvarige förvissa sig om att biträdet kan genomföra de säkerhets åtgärder som måste vidtas och att se till att det verkligen görs. Även om den faktiska behandlingen av uppgifterna överlåts, så kvarstår alltid det yttersta ansvaret hos den personuppgiftsansvarige.

6.5.7Överföring av personuppgifter till tredje land

Enligt 33 § personuppgiftslagen är det förbjudet att föra över person uppgifter till tredje land om landet inte har en adekvat nivå för skyd- det av personuppgifter. Förbudet gäller också överföring av person- uppgifter för behandling i tredje land. Bestämmelsen gäller däremot inte vid behandling av personuppgifter i ostrukturerat material. Den som uppsåtligen eller av grov oaktsamhet kränker den registrerades

17 Öman och Lindblom s. 437 f.

18 Se vidare Datainspektionens allmänna råd – Säkerhet för personuppgifter.

159

Det grundläggande rättsliga skyddet

SOU 2016:41

personliga integritet genom att föra över personuppgifter till tredje land som inte har en adekvat skyddsnivå kan göra sig skyldig till brott mot personuppgiftslagen (se nedan).

Frågan om skyddsnivån är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen i det enskilda fallet. I paragrafen anges att särskild vikt ska läggas vid upp- gifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet.

I 34 § anges ett antal undantag från förbudet i 33 §. Det är bl.a. tillåtet att föra över personuppgifter till tredje land om den registre- rade har lämnat sitt samtycke därtill eller om överföringen är nöd- vändig för vissa närmare angivna syften, bl.a. för att den registrerades vitala intressen ska kunna skyddas. Vidare är det tillåtet att föra över personuppgifter för användning i en stat som har anslutit sig till Europarådets dataskyddskonvention. I 35 § finns bemyndiganden som framför allt ger regeringen möjlighet att besluta om ytterligare undantag från förbudet i 33 §.

6.5.8Kommande lagstiftning

Den 15 december 2015 kom EU-kommissionen, Europaparlamentet och EU:s ministerråd överens om ett förslag till ny EU-förordning om dataskydd som ska ersätta såväl dataskyddsdirektivet som personuppgiftslagen. Europaparlamentet beslutade den 16 april 2016 att anta förordningen. Förordningen publicerades den 4 maj 2016 i Europeiska unionens officiella tidning med den korta benämningen ”allmän dataskyddsförordning”.19 Förordningen ska tillämpas från och med den 25 maj 2018. Syftet med förordningen har framför allt varit att ytterligare harmonisera och effektivisera skyddet av person- uppgifter för att förbättre den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Förordningen är direkt tillämplig i medlemsstaterna.

19 Den fullständiga benämningen är Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av person uppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

160

SOU 2016:41

Det grundläggande rättsliga skyddet

Den 4 maj 2016 publicerades även det direktiv som ska ersätta data- skyddsrambeslutet (rambeslut 2008/977/RIF).20 Direktivet omfattar, till skillnad från dataskyddsrambeslutet, inte endast utbyte av infor- mation över gränserna, utan även nationell personuppgiftsbehandling inom den brottsbekämpande sektorn. Medlemsstaterna ska, som huvudregel, senast den 6 maj 2018 anta och offentliggöra de lagar och andra författningar som är nödvändiga för att följa direktivet samt börja tillämpa dessa bestämmelser från och med den 6 maj 2018.

6.6Lagen om elektronisk kommunikation

I lagen (2003:389) om elektronisk kommunikation finns bl.a. be- stämmelser om integritetsskydd vid tillhandahållande av elektroniska kommunikationsnät och elektroniska kommunikationstjänster samt vid abonnentupplysning. Regleringen bygger på Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktivet om integritet och elektronisk kommuni- kation).

Av 6 kap. 5, 6 och 8 §§ lagen om elektronisk kommunikation framgår att bl.a. tele- och internetleverantörer enligt huvudregeln ska utplåna eller avidentifiera trafikuppgifter när de inte längre be- hövs för att överföra ett elektroniskt meddelande. Det finns dock flera undantag från denna princip. Uppgifterna får bl.a. sparas när det är nödvändigt för att kunna förhindra och avslöja obehörig använd- ning av ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst. De får även sparas om de behövs för abonnentfakturering eller för betalning av avgifter för samtrafik. Om en abonnent eller användare har samtyckt till det, får uppgifterna också behandlas för att marknadsföra elektroniska kommunikations tjänster. Lagen om elektronisk kommunikation innehåller även be- stämmelser om bl.a. säkerhet och tystnadsplikt samt ett förbud mot avlyssning. Av regleringen framgår bl.a. att många lagrade uppgifter endast får lämnas ut när domstol har beslutat om det.

20 Det nya direktivets fullständiga benämning är Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF.

161

Det grundläggande rättsliga skyddet

SOU 2016:41

I direktivet om integritet och elektronisk kommunikation finns även bestämmelser som innebär att medlemsstaterna under vissa närmare angivna förutsättningar får införa andra undantag från skyldigheten att utplåna eller avidentifiera trafikuppgifterna när de inte längre behövs för att överföra ett elektroniskt meddelande. Det var med stöd av den regleringen som bl.a. Sverige införde en skyldig- het för bl.a. tele- och internetleverantörer att under viss tid lagra trafikuppgifter för brottsbekämpande ändamål (se 6 kap. 16 a § lagen om elektronisk kommunikation samt t.ex. Ds 2014:23).

Europaparlamentets och rådets direktiv (2006/24/EG) om lagring av uppgifter som genererats eller behandlats i samband med tillhanda hållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät (Datalagringsdirektivet) inför livades den 1 maj 2012 i svensk rätt. Datalagringsdirektivet syftar till att harmonisera medlemsstaternas regler om skyldigheter för leveran- törer av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät att lagra trafik- och lokaliserings- uppgifter samt uppgifter som behövs för att identifiera en abonnent eller användare för att säkerställa att uppgifterna finns tillgängliga för avslöjande, utredning och åtal av allvarliga brott.

Den 8 april 2014 ogiltigförklarade EU-domstolen21 Datalagrings- direktivet i sin helhet. Domstolens ogiltigförklaring gäller med retroaktiv verkan från den dag direktivet trädde i kraft. Domstolen anser att Datalagringsdirektivet utgör ett synnerligen allvarligt in- grepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter genom att kräva att dessa uppgifter ska lagras och genom att ge behöriga nationella myndigheter tillgång till dessa uppgifter. Lagringen av uppgifter i syfte att eventuellt över- lämna dem till behöriga nationella myndigheter svarar mot ett mål av allmänt intresse nämligen bekämpningen av grov brottslighet som syftar till allmän säkerhet. Domstolen anser dock att unionslag stiftaren genom att anta Datalagringsdirektivet har överskridit de gränser som följer av proportionalitetsprincipen.

Datalagringsutredningen22 har därefter gjort bedömningen att det svenska regelverket om lagring och utlämnande av uppgifter ryms inom de ramar som ställs upp av unions- och europarättens allmänna principer och kravet på respekt för grundläggande rättigheter. I be-

21 Dom den 8 april 2014 i målen C-293/12 och C-594/12, Digital Rights Ireland m.fl.

22 Datalagring, EU-rätten och svensk rätt (Ds 2014:23).

162

SOU 2016:41

Det grundläggande rättsliga skyddet

tänkandet Datalagring och integritet23 har dock utredningen föreslagit vissa lagändringar i syfte att stärka skyddet för den personliga in tegriteten när det gäller lagring av uppgifter om elektronisk kom munikation för brottsbekämpande ändamål.

6.7Tillsyn

6.7.1Inledning

Datainspektionen har det övergripande ansvaret för att värna skyddet för enskildas personliga integritet vid behandling av personuppgifter. Som framgår av det följande utövas dock viss tillsyn primärt av andra myndigheter.

6.7.2Datainspektionen

Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen och har bl.a. i uppgift att värna skyddet för enskildas personliga in tegritet vid behandling av personuppgifter. Myndigheten har också ett centralt tillsynsansvar för all kameraövervakning.

Datainspektionen har för sin tillsyn rätt att på begäran få tillgång till de personuppgifter som behandlas samt upplysningar och doku- mentation av behandlingen och säkerheten vid denna. Datainspek- tionen har även rätt att få tillträde till sådana lokaler som har anknyt- ning till behandlingen av personuppgifter. Om Datainspektionen inte efter begäran kan få tillräckligt underlag för att konstatera att behandlingen är laglig får den vid vite förbjuda den personuppgifts- ansvarige att behandla personuppgifter på annat sätt än att lagra dem. Vite används dock i regel inte mot statliga myndigheter.24

Om Datainspektionen konstaterar att uppgifter behandlas eller kan komma att behandlas på ett olagligt sätt ska tillsynsmyndig heten, genom påpekanden eller liknande förfaranden, försöka åstad- komma rättelse. Går det inte att få rättelse på annat sätt, eller om saken är brådskande, får myndigheten på motsvarande sätt förbjuda

23 Datalagringsutredningens betänkande Datalagring och integritet, SOU 2015:31.

24 Regeringens propositioner Tullverkets brottsbekämpning – Effektivare uppgiftsbehandling. prop. 2004/05:164 s. 54 och Personuppgiftsbehandling hos Försvarsmakten och Försvarets radio- anstalt, prop. 2006/07:46 s. 105; jfr Regeringens proposition Effektivare sanktioner för arbets- miljö- och arbetstidsreglerna prop. 2012/13:143 s. 67 f.

163

Det grundläggande rättsliga skyddet

SOU 2016:41

annan behandling än lagring. Datainspektionen får också ansöka hos förvaltningsrätten om att sådana uppgifter som har behandlats på olagligt sätt ska utplånas.

6.7.3Övriga tillsynsmyndigheter

Konsumentverket utövar tillsyn enligt lagen (1994:1512) om avtals villkor i konsumentförhållanden. Konsumentombudsmannen kan utfärda förelägganden och inleda rättsprocesser mot företag som bryter mot den lagen.

Riksdagens ombudsmän (Justitieombudsmannen) är en myndighet under riksdagen och en del av riksdagens kontrollmakt. Justitie ombudsmannen har bl.a. i uppgift att se till att myndigheter och domstolar följer regeringsformens bestämmelser om opartiskhet och saklighet samt att den offentliga verksamheten inte gör intrång i medborgarnas grundläggande fri- och rättigheter. I tillsynsarbetet ingår bl.a. att kontrollera att myndigheterna handlägger sina ärenden och i övrigt utför sina uppgifter enligt gällande författningar.

Justitiekanslern (JK) utövar tillsyn över myndigheter och deras tjänstemän. Tillsynen syftar till att kontrollera att lagar och andra författningar följs och är främst inriktad på att upptäcka syste matiska fel i den offentliga verksamheten.

Post- och telestyrelsen har i uppdrag att utöva tillsyn över behand- ling av uppgifter vid elektronisk kommunikation. Länsstyrelserna utöver tillsyn när det gäller kameraövervakning av platser dit allmän- heten har tillträde. Det finns även sektorsspecifika myndigheter som utövar tillsyn, t.ex. Inspektionen för vård och omsorg, Säkerhets- och integritetsskyddsnämnden samt Statens inspektion för försvarsunder- rättelseverksamheten.

164

SOU 2016:41

Det grundläggande rättsliga skyddet

6.7.4Pågående arbete

Regeringen har tillsatt Utredningen om en myndighet med ett samlat ansvar för tillsyn över den personliga integriteten25, som har i uppdrag att bl.a. överväga hur ett i högre grad samlat integritetsskydd kan fungera inom en och samma myndighetsstruktur. Uppdraget ska redovisas senast den 30 september 2016.

6.8Sanktioner

6.8.1Inledning

I svensk rätt finns inte något generellt straffskydd mot integritets- kränkningar.26 Som framgår av det följande finns däremot straff bestämmelser i framför allt brottsbalken och personuppgiftslagen som omfattar vissa överträdelser. Antalet polisanmälningar som rör brott mot personuppgiftslagen är dock förhållandevis få. Se vidare kapitel 24. När det gäller förhållandet mellan enskilda är därför de generella straffbestämmelserna i framför allt brottsbalken av störst praktisk betydelse för skyddet för den personliga integriteten. Som framgår nedan finns därutöver vissa möjligheter för den som utsatts för ett integritetsintrång att få skadestånd.

6.8.2Brott mot personuppgiftslagen

I 49 § personuppgiftslagen finns en bestämmelse om straff för den som bryter mot vissa bestämmelser i lagen. För brott mot person uppgiftslagen döms till att börja med den som behandlar känsliga personuppgifter och uppgifter om lagöverträdelser i strid med be- stämmelserna i 13–21 §§. Det är även straffbart att i ostrukturerat material behandla sådana uppgifter om det innebär att den registrera- des personliga integritet kränks (jfr 5 a § andra stycket). Vidare kan den som för över personuppgifter till tredje land i strid med bestäm- melserna i 33–35 §§ dömas för brott mot personuppgiftslagen. Även

25 Dir. 2014:164 och dir. 2015:139.

26 Yttrandefrihetskommittén har däremot i betänkandet En översyn av tryck- och yttrande friheten (SOU 2012:55) gjort bedömningen att det finns ett tydligt behov av en generell straff- bestämmelse utanför det grundlagsskyddade området och att det finns skäl för regeringen att överväga en sådan bestämmelse (s. 433 f.).

165

Det grundläggande rättsliga skyddet

SOU 2016:41

när det gäller personuppgifter i ostrukturerat material kan en över föring till tredje land utan adekvat skyddsnivå vara straffbar, om den innebär en kränkning av den registrerades personliga integritet. Slut- ligen döms den för brott mot personuppgiftslagen som lämnar osann uppgift i sådan information till registrerade som föreskrivs i lagen, i anmälan till tillsynsmyndighet eller till tillsynsmyndighet som begär information (43 §). Detsamma gäller den som låter bli att fullgöra skyldigheten enligt framför allt 36 § att anmäla personuppgifts behandling till tillsynsmyndighet.

För straffbarhet krävs uppsåt eller grov oaktsamhet. Det är den fysiska personen som har gjort sig skyldig till förfarandet, eller i vissa fall underlåtenheten, som döms för brott, oavsett om han eller hon är personuppgiftsansvarig. Om ett brott har begåtts inom ramen för en näringsverksamhet kan företagsbot enligt 36 kap. 7 § brottsbalken bli aktuellt för näringsidkaren.

Påföljden för brott mot personuppgiftslagen är böter eller fäng- else i högst sex månader eller, om brottet är grovt, fängelse i högst två år. I ringa fall döms inte till ansvar.

Straffansvaret gäller inte i medier som omfattas av tryckfrihets- förordningen eller yttrandefrihetsgrundlagen. Genom att ansöka om utgivningsbevis hos Myndigheten för radio och tv för en databas som innehåller personuppgifter, kan var och en få grundlagsskydd för databasen och därigenom utesluta en tillämpning av person uppgiftslagen. Mediegrundlagskommittén27 har dock i uppdrag att bl.a. överväga om någon förändring bör göras i detta avseende.

6.8.3Straffbestämmelser i bl.a. brottsbalken

Behandling av personuppgifter kan i vissa fall utgöra brott enligt annan lagstiftning, t.ex. brottsbalken. Det gäller framför allt brott som innebär ett angrepp på annans frid, anseende eller ära. Vissa be- stämmelser straffbelägger anskaffning, användning eller spridning av information om privata förhållanden. Andra bestämmelser straff belägger själva intrånget i den fredade sektor där enskilda anses ha rätt att avvisa utomståendes inblandning.

27 Dir. 2014:97.

166

SOU 2016:41

Det grundläggande rättsliga skyddet

När det gäller anskaffning av information kan till att börja med nämnas bestämmelsen i 4 kap. 9 c § brottsbalken om dataintrång. Där framgår att det är straffbart att olovligen bereda sig tillgång till uppgift som är föremål för automatisk behandling. Det är vidare straffbart att olovligen ändra, utplåna, blockera eller i register föra in en sådan uppgift. Med uppgift som är avsedd för automatiserad be- handling avses alla uppgifter, dvs. fakta, information eller begrepp, som uttrycks i en för dator anpassad och läsbar form, men också program av olika slag och uppgifter som finns i en dators temporära minne, liksom uppgifter som är under befordran, oavsett på vilket sätt en sådan befordran görs.28 Bestämmelsen förutsätter inte att in- trånget görs i ett visst syfte, t.ex. för att hämta information eller för att åstadkomma skada eller någon annan följd. Vad som beläggs med straff är själva intrånget. För straffansvar förutsätts inte heller att någon säkerhetsåtgärd kringgås.29 Exempelvis en anställd som av nyfikenhet olovligen läser uppgifter i en databas, kan alltså göra sig skyldig till dataintrång.

Enligt 4 kap. 9 a § brottsbalken döms den som olovligen, med hjälp av ett tekniskt hjälpmedel för återgivning av ljud, i hemlighet avlyssnar eller upptar tal i enrum, samtal mellan andra eller förhand- lingar vid sammanträde eller annan sammankomst, till vilken allmän- heten inte äger tillträde och som han själv inte deltar i eller som han har berett sig tillträde till utan att ha behörighet till detta för olovlig avlyssning. Bestämmelsens skyddar alltså dels mot avlyssning eller upptagning av tal i enrum – t.ex. diktamen eller bön – dels samtal mellan andra. Det är inte straffbart att spela in samtal som man själv deltar i, oavsett om de andra deltagarna känner till inspelningen eller inte. Straffet för olovlig avlyssning är böter eller fängelse i högst två år.

Sedan år 2013 är det även straffbart att olovligen och i hemlighet fotografera den som befinner sig i en bostad eller på en toalett, i ett omklädningsrum eller ett liknande utrymme (4 kap. 6 a § brotts balken). Sådan kränkande fotografering anses innebära ett intrång i den fredade sfär som enskilda personer bör ha rätt till i förhållande till andra enskilda. Straffet är böter eller fängelse i högst två år.

28 Regeringens proposition Angrepp på informationssystem, Prop. 2006/07:66 s. 49.

29 Nils-Olof Berggren m.fl., Brottsbalken – en kommentar, kommentar till BrB 4:9 c s. 5.

167

Det grundläggande rättsliga skyddet

SOU 2016:41

Gärningen är dock ansvarsfri om den med hänsyn till syftet och övriga omständigheter är försvarlig. Det är inte heller brottsligt att i som led i en myndighets verksamhet ta upp bild av någon.

Den som olovligen bereder sig tillgång till ett meddelande som ett post- eller telebefordringsföretag förmedlar som postförsändelse eller i ett elektroniskt kommunikationsnät döms för brytande av post- och telehemlighet till böter eller fängelse i högst två år (4 kap. 8 § brottsbalken).

Den som ”lyfter vapen mot annan eller eljest hotar med brottslig gärning på sätt som är ägnat att hos den hotade framkalla allvarlig fruktan för egen eller annans säkerhet till person eller egendom” döms enligt 4 kap. 5 § brottsbalken för olaga hot till böter eller fäng- elseihögstettår.Gärningenkanbl.a.begåsmedhjälpavinformations teknik, exempelvis via e-post. Om brottet är grovt är straffet fäng- else lägst sex månader och högst fyra år.

För ofredande döms den som ”handgripligen antastar eller medelst skottlossning, stenkastning, oljud eller annat hänsynslöst beteende ofredar annan”, till böter eller fängelse i högst ett år (4 kap. 7 § brottsbalken). En gärning ska anses innebära ett ofredande genom hänsynslöst beteende om den enligt en vanlig värdering kan sägas utgöra en kännbar integritetskränkning.30

Det finns inte något generellt förbud för enskilda att lämna eller sprida integritetskänsliga uppgifter. I vissa fall kan dock spridning av nedsättande uppgifter eller integritetskänsliga bilder däremot straffas som förtal. Enligt 5 kap. 1 § brottsbalken döms den för förtal som pekar ut en annan person som brottslig eller klandervärd i sitt levnadssätt eller som på något annat sätt lämnar en uppgift som är ägnad att utsätta denne för andras missaktning. Brottet består alltså i att en person till en annan person lämnar en nedsättande uppgift om en tredje person. En uppgift kan lämnas genom tal och skrift men även genom t.ex. en bild.31 Från straffansvaret undantas fall när den som lämnat uppgiften varit skyldig att uttala sig eller om det annars med hänsyn till omständigheterna varit försvarligt att lämna upp giften. I båda fallen måste den som lämnat uppgiften visa att upp

30 NJA II 1962 s. 134.

31 I NJA 1992 s. 594 hade den tilltalade utan målsägandens vetskap videofilmat ett samlag mellan dem och därefter visat filmen för flera personer. Visandet av filmen bedömdes som grovt förtal.

168

SOU 2016:41

Det grundläggande rättsliga skyddet

giften varit sann eller att uppgiftslämnaren hade skälig grund för den. Straffet för förtal är böter. För grovt förtal döms till böter eller fäng- else i högst två år.

För förolämpning döms den som ”smädar annan genom kränkande tillmäle eller beskyllning eller genom annat skymfligt beteende mot honom” till böter, eller om brottet är grovt till böter eller fängelse i högst sex månader. Bestämmelsen tar sikte på kränkningar av någons ära som riktar sig direkt till den som berörs.

Även andra brott kan begås med användning av informations teknik, exempelvis sexuellt ofredande, olaga förföljelse, övergrepp i rättssak, brott mot tystnadsplikt, överträdelse av kontaktförbud, barn- pornografibrott och olaga våldskildring.

Därutöver har den som tillhandahåller en tjänst för elektronisk förmedling av meddelanden ett ansvar för att ta bort meddelanden från tjänsten, eller på annat sätt förhindra vidare spridning av med- delanden som bl.a. uppenbart utgör hets mot folkgrupp eller barn- pornografibrott (5 § lagen [1998:112] om ansvar för elektroniska anslagstavlor). Den som uppsåtligen eller av grov oaktsamhet bryter mot nämnda skyldighet döms enligt 7 § till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år. I ringa fall döms dock inte till ansvar.

När det gäller medier som omfattas av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen gäller dock vissa begränsningar av straffansvaret, se 7 och 8 kap. tryckfrihetsförordningen respektive 5 och 6 kap. yttrandefrihetsgrundlagen.

Slutligen bör nämnas att Utredningen om ett modernt och starkt straffrättsligt skydd för den personliga integriteten32 har haft i uppdrag att se över det straffrättsliga skyddet för enskildas personliga integritet, särskilt när det gäller hot och andra kränkningar. Utöver befintliga regler om olaga hot, ofredande, förtal och förolämpning har utred- ningen ta ställning till om det straffrättsliga skyddet bör kompletteras när det gäller spridning av integritetskränkande uppgifter utanför det grundlagsskyddade området (dvs. sådant som inte regleras i tryckfrihetsförordningen och yttrandefrihetsgrundlagen). Utred- ningen har vidare övervägt om det bör införas ett straffansvar för den som tillhandahåller en elektronisk anslagstavla och som inte tar bort

32 Ju 2014:10, dir. 2014:74.

169

Det grundläggande rättsliga skyddet

SOU 2016:41

eller på annat sätt förhindrar spridning av meddelanden som kränker enskildas personliga integritet. Utredningens förslag presenterades i februari 2016.33 Mer om utredningens förslag redovisas i avsnitt 23.1.

6.8.4Skadestånd

Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada eller kränkning av den personliga integriteten för den registrerade har han eller hon, enligt 48 § personuppgiftslagen, rätt till skadestånd från den personuppgiftsansvarige. Skadeståndsansvaret åligger som huvudregel just den personuppgiftsansvariga och inte t.ex. den anställda som vidtagit en viss åtgärd, eventuella person uppgiftsbiträden eller personuppgiftsombud. Skadeståndsansvaret är i princip strikt, vilket innebär att det inte krävs att den person uppgiftsansvarige eller någon annan har haft uppsåt att handla i strid med lagen eller varit oaktsam. Den registrerade behöver bara visa att det förekommit en felaktig behandling och att denna skadat eller kränkt honom eller henne. Omständigheter som kan ha betydelse vid bedömningen av om det har förekommit en kränkning är bl.a. vilka personuppgifter som behandlas, graden av känslighet hos uppgifterna, i vilket sammanhang uppgifterna förekommer, för vilket syfte upp- gifterna behandlas, vilken spridning uppgifterna har fått eller riskerat att få samt vad behandlingen kan leda till.

Ersättningen kan i den utsträckning det är skäligt sättas ned, helt eller delvis, om den personuppgiftsansvarige visar att felet inte be- rodde på honom eller henne. Det kan t.ex. handla om att det är den registrerade som har t.ex. lämnat felaktiga eller ofullständiga person- uppgifter vilket lett till den olagliga behandlingen.

Det finns även möjlighet att erhålla skadestånd för kränkning vid brottslig gärning, enligt den allmänna regleringen i 2 kap. 3 § skade- ståndslagen (1972:207). För att sådant skadeståndsansvar ska komma i fråga krävs att kränkning varit allvarlig. Vidare gäller ansvaret endast

vid vissa typer av brott, nämligen angrepp på annans person, mot annans frihet samt mot annans frid eller ära. De två sistnämnda kate- gorierna är av störst intresse här. Brott mot annans frid avser den enskildes rätt att vara i fred och hålla sitt privatliv okänt för andra.

33 Utredningens om ett modernt och starkt straffrättsligt skydd för den personliga integri teten betänkande Integritet och straffskydd, SOU 2016:7.

170

Skolan

SOU 2016:41

Skolverkets senaste uppföljning av it-användning och it-kompe- tens visar att det under de senaste åren skett en stor ökning av antalet datorer i såväl förskola, grundskola som gymnasieskola.2

Antalet skolor som använder sig av internetbaserade lärplattformar för samarbetet mellan elever och lärare har också ökat. År 2015 använ- des sådana av 67 procent av de kommunala grundskolorna (56 procent av de fristående grundskolorna) och av 95 procent av de kommunala gymnasieskolorna (84 procent av de fristående gymnasieskolorna).

Många skolor, sju av tio grundskolor och åtta av tio gymnasie skolor, använder i dag s.k. molntjänster som t.ex. Google apps, Office 365 och iCloud.

Vanligt förekommande tjänster i skolorna är möjligheten att via skolans webbplats få åtkomst till bl.a. schema, skolresultat och funk- tioner för frånvaroanmälan.

En del lärare kommunicerar med elever via sociala medier. Detta är vanligare i gymnasieskolan än i grundskolan. Fyra av tio lärare i gymnasieskolan använder sociala medier för att kommunicera med elever, medan motsvarande i grundskolan är två av tio lärare. I grund- skolan är det dock vanligare att lärare i de högre årskurserna använ- der sociala medier för kommunikation med elever jämfört med lärare i de lägre årkurserna.

Skolverkets undersökning visar sammantaget att digitaliseringen av skolan är relativt långt kommen i Sverige, även med internationella mått mätt.3

Det görs dessutom satsningar för att ytterligare påskynda digitali- seringen av skolan, både från kommunalt och statligt håll. Vid Sveriges kommuner och landsting fanns fram till slutet av år 2015 ett s.k.

Nationellt forum för skolans digitalisering som var en brett sammansatt grupp som arbetade för att underlätta digitaliseringen av skolan.

Vidare har Skolverket, på uppdrag av regeringen, tagit fram ett förslag till it-strategi som vänder sig till förskolan, förskoleklassen, fritidshemmet och den obligatoriska skolan.4 Skolverket föreslår att det ska vara en vision att skolväsendet präglas av att digitaliseringens möjligheter tas tillvara, så att de digitala verktygen och resurserna

2 Skolverkets rapport IT-användning och IT-kompetens i skolan, Skolverkets IT-uppföljning 2015, dnr 2015:00067.

3 Se även Digitaliseringskommissionens delbetänkande En digital agenda i människans tjänst

– en ljusnande framtid kan bli vår, SOU 2014:13, s. 129 f.

4 Redovisning av uppdraget om att föreslå nationella IT-strategier för skolväsendet, Skolverkets redovisning den 4 april 2016 av regeringsuppdrag, dnr 2015:01153.

176

SOU 2016:41

Skolan

bidrar till att resultaten förbättras och verksamheten effektiviseras. Enligt förslaget behöver lärarna enkelt kunna samla in uppgifter om elever som genereras när dessa arbetar med digitala läromedel, digi- tala prov, resultat från nationella prov, bedömningsunderlag och motsvarande. Förhoppningen är att uppgifterna ska underlätta för läraren att individualisera undervisningen och ge eleven underlag för reflektion kring det egna lärandet. Skolverket lyfter också fram att samlandet av uppgifter långt ifrån är problemfritt och att det särskilt reser frågor som har med personlig integritet att göra. Hur uppgifter av detta slag ska hanteras när det gäller skydd av integritet, lagring och åtkomst kommer enligt Skolverket att behöva lösas samlat på nationell nivå. I förslaget sägs också att skolorna står inför ett växande behov att skydda elevernas integritet, samtidigt som man bör använda uppgifterna till att individualisera lärandet, främja forskning och tydliggöra elevens utbildningsframgångar för föräldrar och lärare.

Mot bakgrund av den tilltagande digitaliseringen av skolan och ambitionerna att ytterligare påskynda densamma, är det några resul- tat i Skolverkets uppföljning som är särskilt värda att notera ur ett integritetsskyddsperspektiv:

•De ökade satsningarna på it i skolan har av undersökningen att döma, inte lett till en lika stor ökning av övergripande styrning och planering. Undersökningen år 2012 visade att färre grundskolor hade en it-plan jämfört med 2008. År 2015 har antalet grundskolor med it-plan ökat och är nu ungefär på samma nivå som 2008. Av alla grundskolor har nu 60 procent en it-plan. Av gymnasieskolorna har 67 procent en it-plan. Av de skolor som har en it-plan, anger 51 pro- cent av grundskolorna och 56 procent av gymnasieskolorna att det i it-planen beskrivs hur skolan ska beakta och hantera elevers in tegritet i olika it-verktyg och plattformar.

•Omkring fyra av tio lärare uppger att de inte alls arbetar med sina elever för att främja en säker användning av internet (t.ex. gällande utlämnande av personliga uppgifter, bilder, köp av tjänster och varor), och inte heller arbetar något med att förebygga olika for- mar av kränkningar via mobiltelefon och internet.

•Omkring hälften av lärarna i grundskolan anser sig ha ett stort behov av kompetensutveckling inom olika it-områden:

177

Skolan

SOU 2016:41

––55 procent av grundskolelärarna anser att de har ett stort be- hov av kompetensutveckling beträffande hur man ska arbeta förebyggande mot kränkningar.

––51 procent av grundskolelärarna anser sig ha ett stort behov av mer kunskap om säker it-användning, och

––47 procent av grundskolelärarna anser sig ha ett stort behov av kunskap om ”lag och rätt” gällande it-användning.5

Intressant ur integritetsskyddsperspektiv är även en rapport från Sveriges kommuner och landsting om rektorers bedömningar i själv- skattningsverktyget LIKA.6

•För 16 procent av skolorna som hade använt sig av LIKA-verk tyget gjordes bedömningen att skolan när det gäller digitala verk- tyg saknade god beställarkompetens och ett bra samarbete med leverantörer om vad skolan behöver. För 48 procent av skolorna gjordes bedömningen att beställarkompetens och bra samarbeta var något som hade påbörjats eller nästan uppnåtts. Övriga be- dömde att detta redan uppnåtts.

•För 19 procent av skolorna som hade använt sig av verktyget gjordes bedömningen att skolan när det gäller digitala verktyg saknade tydliggjorda centrala riktlinjer eller rutiner för hur it- relaterade projekt ska redogöras, vem som ansvarar för vad och hur processen går till vid inköp och beställningar. För 46 procent av skolorna gjordes bedömningen att tydliga riktlinjer eller ruti- ner var något som hade påbörjats eller nästan uppnåtts. Övriga bedömde att detta redan uppnåtts.

Även från statligt håll visar man, som redan nämnts ovan, intresse för skolans digitalisering. Ett aktuellt betänkande som bland annat rör skolans digitalisering är En digital agenda i människans tjänst – en ljusnande framtid kan bli vår.7 Betänkandet är en del av Digitali

5 Gymnasielärarna ligger mellan 3 och 6 procent lägre i sina uppskattningar av behovet av kompetensutveckling på samma områden.

6 Rapporten Skolans digitalisering – Hur långt har vi kommit?, Sveriges Kommuner och Landsting, september 2015. LIKA har tagits fram av SKL och är ett nätbaserat självvärderings- verktyg för utvärdering och utveckling av skolans digitalisering. LIKA står för Ledning, Infrastruktur, Kompetens och Användning. Rapporten baserar sig på de självskattningar som i augusti 2015 hade gjorts i LIKA för 873 skolor.

7 SOU 2014:13.

178

SOU 2016:41

Skolan

seringskommissionens uppdrag att verka för att målet i regeringens it-politiska strategi It i människans tjänst – en digital agenda för Sverige uppnås.

I betänkandet föreslås en rad åtgärder som syftar till att främja skolans digitalisering. I korthet innebär förslagen ett tydliggörande av digitala hjälpmedels roll i läroplaner och kursplaner, insatser för att höja it-kompetensen hos skolans personal samt åtgärder för bättre kunskap om effekterna av skolans it-användning.

Det är enligt vår uppfattning anmärkningsvärt att när personlig integritet nämns i betänkandet, avses – liksom i många andra samman hang som rör skolans digitalisering – endast kränkningar på internet, dvs. behovet av att skydda elever från att bli kränkta på internet av andra elever eller av vuxna. Det berörs inte alls i betänkandet att digi- taliseringen av skolan medför en ofantlig ökning av möjligheterna för företag, organisationer och myndigheter att kartlägga eleverna.

I sitt remissvar på betänkandet påpekar Datainspektionen att det är viktigt att regeringen i det fortsatta arbetet med utredningens för- slag noggrant analyserar vilka konsekvenser behandlingen av person- uppgifter har för den enskildes personliga integritet. Datainspek tionen lyfter bl.a. fram sin erfarenhet att kunskapen inom skolväsendet om hur personuppgifter får behandlas ofta är bristfällig, och pekar på att det är av central betydelse att kunskap om gällande integritets- skyddslagstiftning också måste finnas hos skolhuvudmännen, dvs. inte bara hos enskilda lärare och rektorer.

7.1.2Regelverk och tillsyn

Hanteringen av personuppgifter inom utbildningsväsendet regleras av olika författningar, i huvudsak i enlighet med följande:

•Personuppgiftslagen (1998:204). Här kan nämnas att skolornas utbildningsverksamhet anses vara en sådan ”arbetsuppgift av all- mänt intresse” som enligt 10 § personuppgiftslagen möjliggör att personuppgifter får behandlas utan den enskildes samtycke.8

8 Se bl.a. Utredningens om offentlighet och sekretess i skolan betänkande Sekretess i elevernas intresse – Dokumentation, samverkan och integritet i skolan, SOU 2003: 103 s. 199. Särskilda krav gäller emellertid när det är fråga om känsliga uppgifter i personuppgiftslagens mening, uppgifter om lagöverträdelser eller personnummer.

179

Skolan

SOU 2016:41

•Generellt inom offentlig verksamhet gäller offentlighets- och sekretesslagen (2009:400). För fristående skolor finns mot svarande bestämmelser i 29 kap. 14 § skollagen (2010:800). Det bör dock noteras att den mest grundläggande delen av skolverk- samheten över huvud taget inte omfattas av offentlighets- och sekretesslagens bestämmelser (eller av motsvande bestämmelser i skollagen). Det är den normala dagliga pedagogiska verksam heten – dvs. den vanliga undervisningen – som inte alls är under- kastad sekretess. Uppgifter som rör elevers studieresultat, när- varo och scheman m.m. är med andra ord i princip alltid offentliga. Det är först när verksamheten inriktas på andra åtgärder för elever, t.ex. hälsoundersökningar eller som ett led i s.k. särskild elevstödjande verksamhet, som uppgifter av hänsyn till elevernas och deras närståendes integritet kan vara sekretessbelagda.9

•Skollagen.

•Patientdatalagen (2008:355) gäller för den hälso- och sjukvård som bedrivs på skolorna. För uppgifter i hälso- och sjukvården i skolorna gäller offentlighets- och sekretesslagen. För privata vårdgivare som bedriver hälso- och sjukvård i skolan finns mot- svarande bestämmelser i patientsäkerhetslagen (2010:659).

I första hand följande tillsynsmyndigheter kontrollerar hanteringen av personuppgifter inom utbildningsväsendet: Datainspektionen (utövar tillsyn enligt personuppgiftslagen), Skolinspektionen (ut övar tillsyn enligt skollagen), Barn- och elevombudet (som är en del av Skolinspektionen och bl.a. kan begära skadestånd för barn och elever som varit utsatta för kränkningar i skolan), Inspektionen för vård och omsorg (utövar tillsyn enligt hälso- och sjukvårdslagstift- ningen med inriktning på patientsäkerhet inom skolhälsovården).

Därtill utövar Riksdagens ombudsmän (Justitieombudsmannen) och i viss mån Justitiekanslern tillsyn över det allmänna utbildnings- väsendet.

9 SOU 2003:103, s. 65 f. I ett senare betänkande, Utredningens om sekretess för uppgifter i skolväsendet och vissa andra utbildningsformer och verksamheter betänkande Skolans doku- ment – insyn och sekretess, SOU 2011:58, har vissa ändringar föreslagits, bl.a. att individuella utvecklingsplaner skulle omfattas av sekretess, men förslagen har inte lett till lagstiftning.

180

SOU 2016:41

Skolan

Den enskilde som anser att hennes eller hans uppgifter hanterats på ett felaktigt sätt, kan således vända sig till olika tillsynsmyndig heter med ett klagomål. Beroende på vad klagomålet rör, är det olika myndigheter som ansvarar för tillsynen. Exempelvis ansvarar Data- inspektionen för frågor som rör vilka uppgifter om eleverna som får hanteras och hur länge de får sparas. Skolinspektionen ansvarar för frågor som rör hur skolorna dokumenterar elevernas arbete. Barn- och elevombudet kan i tvister om skadestånd enligt skollagens sjätte kapitel (med förbud mot kränkande behandling) föra talan för en elev som samtycker till det. Inspektionen för vård och omsorg ansvarar t.ex. för frågor om tillsyn av om dokumentationen uppfyller patientdatalagens krav.

Vidare finns det en möjlighet för eleven att själv begära skade- stånd för den ideella skada (dvs. kränkningen) som hon eller han an- ser sig ha lidit på grund av integritetsintrång, och att i så fall väcka talan vid allmän domstol.

7.2Digitala lärplattformar och läromedel

7.2.1Företeelserna

Digitala lärplattformar

Digitala lärplattformar är internetbaserade system som möjliggör olika sorters interaktivitet och kommunikation mellan elever, lärare och vårdnadshavare. Den vanliga engelska beteckningen för dem är

Learning Management Systems (LMS).

De digitala lärplattformarna kallas ibland för virtuella klassrum, och innehåller vanligen funktioner för:

•att skapa grupper och klasser,

•att visa schema och närvaro eller frånvaro,

•att visa betyg, omdömen och individuella utvecklingsplaner,

•att genomföra prov,

•diskussionsforum och chattfunktion,

181

Skolan

SOU 2016:41

•virtuella rum där lärare och elever kan skicka meddelanden och läraren kan lägga ut planering, undervisningsmaterial, länkar osv. och eleverna kan lösa och lämna in uppgifter, och

•åtkomst för vårdnadshavare för att kunna kommunicera med skolan och följa det egna barnets arbete.

Digitala lärplattformar kan möjliggöra en detaljerad loggning av elevens aktiviteter med information om exempelvis när på dygnet eleven arbetar i systemet, hur eleven arbetar med en viss uppgift, hur eleven interagerar och kommunicerar med lärare och andra elever och hur aktivt eleven arbetar med sina olika ämnen i systemet.

Informationen om elevens aktiviteter i den digitala lärplattformen kan användas för att få veta mer om elevens inlärningsprocesser. Kunskap om elevens inlärning gör det möjligt både att anpassa upp- gifter och arbetssätt till den individuella eleven, att identifiera elever som behöver särskilt stöd, och till att allmänt förbättra systemen. Det här området kallas ibland för inlärningsanalys (på engelska lear- ning analytics), vilket kan sägas vara en tillämpning av big data- analyser på utbildningsområdet, i vilket uppgifter från lärplattformar är en av flera möjliga datakällor.

Inlärningsanalys är ännu i sin linda, men spås bli viktigt i en nära framtid. Vissa lärplattformar med stor spridning i Sverige förbereder redan i dag sina lärplattformar för att kunna stödja inlärningsanalys.10 Ofta finns lärplattformen i molnet. Det är alltså en annan organi- sation än skolan som lagrar personuppgifterna och står för systemets drift. Det innebär att de frågeställningar som uppkommer för moln- tjänster är aktuella även för lärplattformarna. Faktum är att de moln- tjänster som i Sverige granskats mest ingående av Datainspektionen, har varit just lärplattformar Exempelvis har den molnbaserade lär- plattformen Google Apps for Education granskats och kritiserats i

en rad beslut.

Några exempel på andra i Sverige vanligt förekommande lärplatt- formar är Fronter, Pingpong och Infomentor. Det är inte ovanligt att mindre lärplattformar delvis är integrerade med andra, större platt- formar, som exempelvis nämnda Google Apps for Education.

10 Personvern 2015 – tillstand og trender, rapport från Datatilsynet och Teknologirådet i Norge.

182

SOU 2016:41

Skolan

På universitet och högskolor används lärplattformar för s.k. MOOC-kurser (vilket står för Massive Open Online Course) som är webbaserade kurser som oftast både är gratis och öppna för allmän- heten. MOOC-kurser har i USA uppmärksammats för oklarheter kring vilken lagstiftning som skyddar det stora antal personuppgifter som behandlas om studenterna när de genomgår MOOC-kurser.11

Digitala läromedel

Det finns många olika digitala läromedel på marknaden. Ofta hand- lar det om material som kombinerar text, ljud och bild, som är inter- aktivt och som är åtkomligt över nätet. Digitala läromedel kan underlätta inlärningen och göra undervisningen effektivare eftersom läraren inte behöver delta i de moment där läromedlet kan instruera eleven. Läraren kan i stället fokusera på de delar som absolut kräver hans eller hennes handledning.

Ofta förutsätter användningen av digitala läromedel att varje en- skild elev registreras som användare hos leverantören, dvs. hos för laget. Leverantören kan då vanligen följa elevens användning av läro- medlet på en mycket detaljerad nivå. Även data från elevernas användning av läromedel är förstås av stort intresse för inlärnings- analys.

Digitala läromedel ges i Sverige ut av förlag som även ger ut pappersbaserade läroböcker och av förlag som enbart sysslar med digitala läromedel.

7.2.2Det skyddande regelverket

Personuppgiftslagens bestämmelser gäller för hanteringen av person uppgifter i digitala lärplattformar och läromedel. Av särskild betydelse är i detta sammanhang är personuppgiftslagens bestämmelser om personuppgiftsansvaret, ändamålsbegränsning, samtycke, informa- tion och säkerhetsåtgärder.

11 Steve Kolowich, Are MOOC-Takers ‘Students’? Not When It Comes to the Feds Protecting Their Data, publicerad den 3 december 2014 i The Chronicle of Higher Education.

183

Skolan

SOU 2016:41

7.2.3Risker för den personliga integriteten

När alla funktioner i digitala lärplattformar och läromedel används av eleverna, genereras en stor mängd mycket detaljerade uppgifter om vad de arbetar med, hur de arbetar och om deras relationer till andra elever och till lärare.

Det generella gapet mellan det formella ansvaret för hanteringen av personuppgifterna och kunskapen och kontrollen över hur upp- gifterna faktiskt hanteras, medför förstås en rad olika risker ur ett integritetsskyddsperspektiv.

Det finns en risk för att onödigt många uppgifter om eleverna hanteras i systemen och för att uppgifterna sprids och hanteras för andra ändamål än de som huvudmannen ursprungligen bestämt och informerat elever och vårdnadshavare om. Det strider i så fall mot personuppgiftslagen och kanske även mot de avtal som finns mellan huvudmanen och personuppgiftsbiträdena.

En faktor som driver på och ökar dessa risker är det stora intres- set hos leverantörer, systemutvecklare och förlag av att hantera så många olika uppgifter som möjligt från de digitala lärplattformarna och läromedlen. Syftet med det är att kunna använda inlärnings analytiska metoder för att utveckla och förbättra system och läro medel. Här är verkligen alla uppgifter som över huvud taget kan lag- ras av intresse, även innehållet i chattar mellan eleverna och likaså samtal i den mån ljud lagras i systemet och kan analyseras (jfr s.k. social metrics).

Skolverket är medvetet om utvecklingen och skriver följande på sin webbsida.

Under de senaste åren har möjligheterna att göra detta [samla kunskap om elevernas sätt att lära] med digitalt stöd ökat till exempel genom använd- ningen av lärplattformar och verktyg för individuella utvecklingsplaner. Samtidigt som vi ser hur den tekniska utvecklingen kraftigt ökar möjlig heterna för att samla data aktualiseras frågor om vad som är önskvärt och lämpligt.12

12 Samla och analysera. Skolverket. http://www.skolverket.se/skolutveckling/resurser-for- larande/itiskolan/digitala-larresurser/learning-analytics-1.223404 Hämtat 2016-05-09.

184

SOU 2016:41

Skolan

Om det finns brister i huvudmännens kunskap om, och kontroll över hur uppgifter hanteras i lärplattformarna, finns det naturligtvis också en stor risk för att elever och vårdnadshavarna varken får till- räcklig information om hanteringen eller får möjlighet att påverka hanteringen.

Vissa av de största och mest populära lärplattformarna i molnet är ”gratis” för skolan, på så sätt att någon direkt ekonomisk ersättning inte begärs för tjänsterna. I den rådande affärsmodellen får dock leverantörerna sin ersättning i form av användbara uppgifter om de elever vars uppgifter hanteras i systemen, som leverantörerna driftar för skolhuvudmannans räkning.

Digitala lärplattformar hämtar vanligen grunduppgifter om eleverna från något av skolhuvudmannens elevregister. Dessa kan vara rent administrativa databaser eller kommungemensamma befolknings register. Det finns då en risk för att det förs över fler uppgifter än vad lärplattformen egentligen behöver. Det finns också en risk för att uppgifter om elever med skyddad identitet förs över och får en sprid- ning i lärplattformen som innebär att personernas identiteter röjs.

7.3Sociala medier i undervisningen

7.3.1Företeelsen

Sociala medier är ett sätt att kommunicera, skapa relationer, främja dialog och dela kunskap. Exempel på sociala medier är:

•webbplatser med nyhetskommentarer, länkar, chatt och kom mentarsfält,

•Facebook, LinkedIn, Twitter, YouTube, Flickr och många andra,

•bloggar, och

•wikier, där användarna hjälps åt att skapa innehållet.13

Under senare år har det blivit populärt att använda sociala medier i skolan, som ett inslag i undervisningen eller som ett sätt att hålla kontakt lärare emellan. Sociala medier är snabba, lättanvända och gör det enklare att omvärldsbevaka, kommunicera och dela material med

13 E-delegationens riktlinjer Myndigheters användning av sociala medier, version 1.0, 2010-12-30.

185

Skolan

SOU 2016:41

elever, föräldrar och kollegor. Vissa lärare menar att deras elever blir motiverade att skriva och skapa när deras material blir synligt för en vidare krets än klasskamraterna. Andra lyfter fram betydelsen av att lärarna får ett stort professionellt nätverk för kollegialt lärande och diskussion.

Facebook, bloggar och wikier14 är populära redskap i skolan för samarbete, kommunikation och publicering av text, bild och ljudfiler.

7.3.2Det skyddande regelverket

Personuppgiftslagens bestämmelser gäller för hanteringen av person uppgifter i sociala medier. Av särskild betydelse i detta sammanhang är personuppgiftslagens bestämmelser om personuppgiftsansvaret, ändamålsbegränsning, samtycke, information och säkerhetsåtgärder.

Ibland krävs samtycke för att hanteringen ska vara förenlig med personuppgiftslagen, exempelvis vid ingående av avtal med det sociala mediet om personuppgiftshanteringen. Av betydelse är då att personuppgiftslagen saknar bestämmelser om från vilken ålder unga personer själva kan samtycka till att uppgifterna publiceras. Data inspektionen anger följande i frågan:

Också den som är underårig (det vill säga under 18 år) kan lämna giltigt samtycke till en tilltänkt behandling om han eller hon är kapabel att förstå innebörden av samtycket. (…) Om uppgifter om underåriga ska behandlas är det särskilt viktigt att göra en seriös bedömning av den unges förmåga att förstå de totala konsekvenserna av en behandling. En tumregel kan vara att den som fyllt 15 år normalt är kapabel att ta ställning i samtyckesfrågan. Många gånger är det dock så att andra regler än de som finns i person uppgiftslagen hindrar att personuppgifter om barn behandlas. Det finns till exempel begränsningar när det gäller att skicka direktreklam till barn.15

Här kan också föräldrabalkens bestämmelser om möjligheten att ingå avtal med underåriga bli tillämpliga.

I Konsumentverkets Vägledning om marknadsföring riktad till barn och unga, berörs möjligheten att ingå avtal med underåriga:

14 En wiki är en webbplats där besökarna själva skapar innehållet, ett känt exempel är Wikipedia.

15 Datainspektionens informationsskrift Samtycke enligt personuppgiftslagen. Se även Artikel 29-gruppens yttrande 1/2008 on the protection of children’s personal data (General guidelines and the special case of schools).

186

SOU 2016:41

Skolan

Barns behörighet att ingå avtal regleras i föräldrabalkens 9 kap. Den som är under 18 år är omyndig och får inte själv ingå avtal. Barn som fyllt 16 år får dock själva bestämma över pengar som de tjänat. Avtalsparten måste i varje enskilt fall ta reda på om den andra avtalsparten är myndig och behörig att ingå avtal. Det räcker alltså inte med att ett företag tror att motparten är myndig för att ett avtal ska bli giltigt. För att ett avtal med en minderårig ska bli giltigt krävs att förmyndare, normalt föräldern, samtyckt till det.

I vägledningen berörs emellertid varken personuppgiftslagen eller avtal som reglerar just hanteringen av personuppgifter.

I Frankrike har konsumentskyddsmyndigheten Commission des clauses abusives år 2014 formulerat rekommendationer för hur sociala medier bör utforma sina avtalsvillkor. Flera av rekommendationerna rör avtalsvillkor om hanteringen av personuppgifter. Myndigheten pekar inledningsvis på problemet att sociala medier vanligen felaktigen utgår från att underåriga har sina legala ställföreträdares godkännande till att ingå avtal med det sociala mediet. Därefter rekommenderar myndigheten att sociala mediers avtalsvillkor ska föreskriva uttryck- ligt samtycke från den underåriges legala ställföreträdare beträffande behandlingen av uppgifter om underåriga som saknar kapacitet att själva lämna ett giltigt samtycke.16

Det finns inga motsvarande rekommendationer om sociala mediers avtalsvillkor om personuppgifter från det svenska Konsumentverket.

7.3.3Risker för den personliga integriteten

I kommitténs kontakter med skolföreträdare har framförts att an- vändningen av sociala medier i undervisningen kan medföra många fördelar för eleverna, exempelvis att elever kan uppleva det som stimulerande och positivt när deras skolarbeten kan ses av en större publik på sociala medier. Samtidigt innebär de sociala mediernas han- tering av uppgifter om eleverna en rad olika risker ur ett integritets- perspektiv.

Sociala medier kan även användas av elever för att sprida krän- kande uppgifter om andra. Nya skyddsintressen har därför upp kommit och medfört ett väsentligt ökat behov av ett bättre utformat straffrättsligt skydd för privatlivet och den personliga integriteten.

16 Recommandation n°2014-02 relative aux contrats proposés par les fournisseurs de services de réseaux sociaux http://www.clauses-abusives.fr/recom/index.htm Hämtat 2016-05-09.

187

Skolan

SOU 2016:41

Med den motiveringen föreslås i betänkandet Integritet och straff- skydd17 en ny straffbestämmelse om s.k. olaga integritetsintrång som tar sikte på kränkningar som enskilda personer begår mot andra en- skilda. Eftersom detta område nyligen varit föremål för en grundlig granskning och analys, avstår vi från att undersöka det.

Generella risker

Användning av sociala medier i skolan medför, liksom användning av sociala medier på andra områden, vissa generella risker.

Uppgifter om elever kan komma att spridas och hanteras för ända mål som eleverna eller deras vårdnadshavare inte känner till eller har samtyckt till. Det sociala mediet kan exempelvis skanna av material för att kunna meddela upphovsrättsinnehavare om möjliga intrång i upphovsrätten (såsom otillåten spridning), eller ge okända tredje- partsapplikationer åtkomst till uppgifter eller av misstag publicera uppgifter öppet på internet.

Sammanblandning med elevernas privatliv

Om skolan använder sig av sociala medier i undervisningen, kan det innebära att den, med stöd av skolplikten, mer eller mindre tvingar elever att skaffa sig personliga konton i sociala medier. För många elever är detta inget problem eftersom de redan själva valt att skaffa eget konto och att vara aktiva. Kunskaper om sociala medier hör också till det som skolan förväntas lära ut till eleverna. Men vissa elever skulle kanske inte själva välja just det sociala mediet som skolan använder sig av, eller så skulle de kanske välja att inte alls vara aktiva på något socialt medium överhuvudtaget.

I skolmiljö är det också ett omtalat problem att användning av sociala medier i undervisningen innebär att eleverna förutsätts ingå egna, individuella avtal med de sociala medierna, i stället för att ex- empelvis ansluta sig till ett gruppkonto eller en gruppinloggning som delas av hela klassen. Om eleven redan har ett personligt konto, blan- das elevens privata förehavanden på mediet med det eleven gör på

17 Utredningens om ett modernt och starkt straffrättsligt skydd för den personliga integri teten betänkande Integritet och straffskydd, SOU 2016:7.

188

SOU 2016:41

Skolan

mediet som ett led i undervisningen. Företaget som tillhandahåller det sociala mediet kommer då enkelt att kunna använda sig av både privata och skolrelaterade uppgifter om eleven för att genomföra en så detaljerad profilering som möjligt.

Sociala medier i molnet

Datainspektionen har i ett ärende granskat en skolas användning av bloggar.18 Varje klass i skolan hade en egen blogg, med syftet att in- formera och kommunicera med elever och vårdnadshavare. Eleverna kunde med hjälp av bloggarna visa egna arbeten och se vad kamra- terna på skolan arbetade med. Inläggen i bloggarna skrevs av eleverna på lektionstid. De personuppgifter som normalt publicerades var förnamn och bild, och lärarna modererade kommentarer i bloggarna. Datainspektionen hade inga invändningar mot bloggarna när de an- vändes för att informera och kommunicera med elever och vårdnads- havare. Tvärtom uttalade Datainspektionen att

Det finns många positiva aspekter av att låta elever arbeta med sociala medier

i skolan. Under överinseende av ansvariga lärare kan eleverna exempelvis få möjlighet att lära sig använda webbverktyg som tillhandahålls via internet och parallellt föra en dialog om vad som är viktigt att tänka på när informa- tion publiceras på internet och vilka konsekvenser en otillåten eller olämplig publicering kan få.

Datainspektionen lyfte emellertid fram att bloggar vanligen är moln- baserade och att det därmed uppstår särskilda skyldigheter för den personuppgiftsansvarige skolhuvudmannen, som i detta fall var Kun- skapsnämnden i kommunen.19 I så fall måste nämnden ha regler för vilka personuppgifter som är tillåtna att publicera. En förutsättning för att reglerna ska få nödvändigt genomslag i organisationen är en- ligt Datainspektionen att de regelbundet kommuniceras och disku- teras med ansvariga lärare och elever. Slutligen pekade Datainspek- tionen på att all skolverksamhet måste se till att elever som lever med skyddade personuppgifter skyddas på ett adekvat sätt.

18 Datainspektionens dnr 1707-2013.

19 I ärendet hade skolan i samband med Datainspektionens tillsyn slutat använda bloggarna, vilket kan vara anledningen till att Datainspektionen inte ställde frågan om bloggen i fråga verkligen var molnbaserad.

189

Skolan

SOU 2016:41

Skolan använde sig även av en enkätfunktion som fanns inbyggd i bloggen. I enkäterna ställde skolan frågor bl.a. om eleverna hade kompisar på rasterna och om de kände sig trygga på skolans toalet- ter, samt om en rad mindre känsliga ämnen. Eleverna kunde också svara på frågor i fritextfält, och där själva komma in på andra känsliga ämnen. Enkäterna och elevernas svar lagrades i bloggens enkätfunk- tion. Datainspektionen konstaterade att det rörde sig om integritets- känsliga uppgifter som hanterades i enkäterna, och att det medförde ett krav på bättre skydd (kryptering och stark autentisering) för personuppgifterna är vad som faktiskt användes i bloggen. Där utöver kom Datainspektionen åter in på den omständigheten att bloggar vanligen lagras och behandlas i molnet. Eftersom de person- uppgiftsansvariga normalt sett saknar insyn och kontroll över upp- gifter som hanteras i molnet framhöll Datainspektionen att det under alla omständigheter var olämpligt att behandla känsliga eller integritetskänsliga personuppgifter i skolbloggar och enkätverktyg.

Liksom för molntjänster generellt (se kapitel 21 om molntjänster) finns det en risk med molnbaserade social medier att de enskilda inte kan få information om vem som faktiskt hanterar deras uppgifter och vilka uppgifter dessa okända personuppgiftsansvariga får åtkomst till. Det kan också förekomma att uppgifter om enskilda användare sprids till underleverantörer utanför EES i länder med en dataskydds reglering som inte når upp till en tillfredsställande skyddsnivå.

7.4Elevhälsan

7.4.1Företeelsen

I och med att skollagen började tillämpas den 1 juli 2011 samlades skolhälsovården, den särskilda elevvården och de specialpedagogiska insatserna i en samlad elevhälsa. Elevhälsan omfattar medicinska, psykologiska, psykosociala och specialpedagogiska insatser. Syftet med att samla insatserna var bland annat att öka samverkan och att betona det hälsofrämjande och förebyggande arbetet. Elevhälsans mål är att skapa en så positiv lärandesituation som möjligt för eleven.20

20 Socialstyrelsens och Skolverkets Vägledning för elevhälsan, oktober 2014.

190

SOU 2016:41

Skolan

Elevhälsans arbete kräver ofta att personalen har ett fungerande informationsutbyte med annan personal på skolan, liksom externt med till exempel hälso- och sjukvården och socialtjänsten.

7.4.2Det skyddande regelverket

Patientdatalagens bestämmelser gäller för den verksamhet inom elevhälsan som handlar om dokumentation av hälso- och sjukvård.

För skolor som bedrivs i det offentligas regi gäller offentlighets- och sekretesslagen. För friskolor finns motsvarande bestämmelser om tystnadsplikt i 29 kap. 14 § skollagen.

Varje kommunal nämnd som bedriver utbildning är en egen myndighet. Personal inom en och samma myndighet kan lämna sekretessbelagda uppgifter mellan sig om det behövs för att hand- lägga ett ärende eller bedriva verksamheten. Om det finns självstän- diga verksamhetsgrenar inom en myndighet gäller dock sekretess mellan de olika verksamheterna. Inom skolan är den medicinska in- satsen inom elevhälsan en självständig verksamhetsgren. Det innebär att sekretess gäller för uppgifter i elevhälsans medicinska insats och att en sekretessprövning måste göras om man vill lämna ut uppgifter till elevhälsans övriga delar eller till övrig personal inom skolan.

För skolläkare och skolsköterskor gäller samma sekretess som för annan hälso- och sjukvårdspersonal. Detta innebär att det finns en sekretessgräns gentemot övrig skolpersonal. Uppgifter om en en- skild elev får dock lämnas från elevhälsans medicinska insatser till rektorn, någon annan inom elevhälsan eller en särskild elevstödjande verksamhet inom samma kommunala nämnd, om det krävs för att eleven ska få nödvändigt stöd. Bestämmelsen ska dock tillämpas restriktivt och i första hand ska samtycke inhämtas. I de sällsynta undantagsfall som bestämmelsen är avsedd för måste elevens rätt till utbildning och behov av särskilt stöd kunna ges företräde framför skyddet för elevens integritet som patient.21

21 Socialstyrelsens och Skolverkets Vägledning för elevhälsan, oktober 2014.

191

DEL VI
Ett dygn med familjen Svenssons elektroniska spår................		659
DEL VII
Reservation.......................................................................		691
Bilagor
Bilaga 1	Kommittédirektiv 2014:65............................................	695
Bilaga 2	Kommittédirektiv 2016:12............................................	707
Bilaga 3	Integritetsskyddande teknik.........................................	709
Bilaga 4 Digitalisering och personlig integritet.........................		743