Amelia Andersdotter - LIBE

Vad tycker svenska ledamöter om dataskyddsförordningen? Moderaterna.

Amelia Andersdotter — Thu, 02 May 2013 15:39:59 +0000

Language Swedish

Håkan Ogelid på IDG frågade sig i tisdags vad svenska ledamöter tycker om dataskyddsförordningen. Enkelt uttryckt tycker Moderaterna att stora amerikanska bolag har många bra poänger, om man får tro Anna-Maria Corazza Bildts ändringsyrkanden. Det här är den första bloggposten av tre där jag går igenom vad svenska ledamöter tycker om Dataskyddsförordningen.

Den stora skillnaden mellan USA och Europa rättsmässigt är att privatliv och integritet är en mänsklig rättighet i Europa enligt EKMR art 8. I USA är privatliv och integritet istället en konsumenträttighet som privatpersoner kan förvärva avtalsrättsligt i relationer med privat aktörer på marknaden. Sverige är bundet av Europeiska konventionen för mänskliga rättigheter sedan 1950-talet, och jag förutsätter att svenska politiker därför utgår ifrån att privatliv är en mänsklig rättighet som vi alla har för att vi är människor, snarare än någonting som uppstår när vi interagerar med en viss tjänstetillhandahållare (varesig denna är statsmakten själv eller en privat tjänstetillhandahållare).

Anna Maria Corazza Bildts:s ändringsyrkande 396, underskrivet med 6 av hennes EPP-kollegor, kommer direkt från amerikansk lobby. Europeisk IT-industri har inte stött att pseudonymiserad data ska undantas från förordningens/personuppgiftslagens förpliktelser. Enligt amerikanska konsumentgrupper och säkerhetsforskare (t ex Bruce Schneier, se emellertid också Paul Ohm som också gör upp med FOI:s rapport 3633) lär pseudonymiserad data heller inte hjälpa oss att skydda vårt privatliv eller integritet på något särskilt sätt, så därför är det uppenbart inte en tanke grundad i MR-tänk, utan snarare ett sätt att konsumenträttsligt minska konsumenters rättigheter mot företag (vilket är rimligt att göra, om man upplever privatliv som konsumenträttslig fråga). Samma feltänk återfinns i Corazza Bildt:s ändringsyrkande 730, 734 och 922, där särskilt #922 utgör ett väldigt stort avsteg från MR-tanken och egentligen gör det omöjligt att på något bra sätt utöva konsumenträttigheter heller. Pseudonymiseringsdiskussionen har uppstått via Yahoo!, eBay, Amazon, Google och Facebook (amerikanska företag), och de har haft väldigt stort inflytande vilket man kan se på bland annat lobbyplag.eu. Man kan också kontrollera de lobbydokument som kommit in till mig och Christian Engström här.

Den europeiska organisationen CEPIS som organiserar IT-tekniker har försökt lobba mot förslaget att urvattna definitionen på personuppgift på det ovan förslagna sättet. På dataprotectioneu.eu har en sammanslagning av mer än 100 europeiska akademiker också försökt protestera mot amerikansk industris urvattningsförsök.

I det vidare har Corazza Bildt också skrivit under ändringsyrkande 1357 tillsammans med 8 kollegor. Detta ändringsyrkande till artikel 15 i dataskyddsförordningen lägger privatliv och integritet från EKMR:s artikel 8 på en lägre prioritetsordning än företagshemligheter och immaterialrätter, i en lagstiftning som bara rör privatliv, personuppgiftsskydd och integritet(!). Här rör det sig inte om huruvida fildelning hotar integritet eller anonymitet eftersom ju det är en avvägning domstolar gör i varje specifikt fall, utan om man ska i lagstiftning sätta prioriteringsordningen på detta sätt, vilket då skulle tvinga domstolar att alltid göra avvägningen på ett särskilt sätt. Det härrör från European Banking Federation och en del andra finansiella industrier (se dataskydd.net och lobbyplag.eu).

Ändringsyrkandena 414 och 1537 är underskrivna av Corazza Bildt och 7 kollegor från EPP-gruppen. De är lite lurigare eftersom de undergräver en rättighet vi medborgare redan har enligt direktivet 2002/58/EC och i Sverige 18§ LEK, nämligen rätten att få säga ja om vi vill bli spårade (alltså opt-in resp. opt-out). Trots att formuleringen i #1537 alltså inte "ser farlig ut" är det alltså så att den är onödig om man tycker att detta är en rättighet, eftersom rättigheten redan är etablerad. Enda syftet med att kodifiera den igen om med andra ord är att göra rättigheten svagare. Detta förslag har drivits av IAB (reklamföretag), Google, och andra amerikanska företag och sätter, återigen, privatliv och integritet som konsumenträttighet snarare än mänsklig rättighet.

Det filosofiska problem jag har lite svårt med vad gäller Corazza Bildt och Moderaterna här är huruvida de anser att privatliv och integritet är en mänsklig rättighet eller en konsumenträttighet. Jag tycker personligen att det är en mänsklig rättighet och att EKMR har gjort en bra avvägning som inkluderar det i den europeiska rättighetskatalogen. Man behöver inte hålla med om det alls, och det kanske Moderaterna (t ex) inte gör, men i sådana fall tycker inte jag att man ska börja med att skriva om "sekundär lagstiftning" utan kanske istället ta en nationell debatt om huruvida vi fortfarande vill vara med i EKMR eller om vi ska begära en omförhandling av EKMR:s text. Så länge alla uppfattar det som bra att vi har den rättighetskatalog vi har i EKMR finns ingen anledning att i annan lagstiftning agera annorlunda (tycker jag).
Är det då inte lugnt så länge vi frivilligt delar med oss av data och personuppgifter? Vad Anna-Maria Corazza Bildt åstadkommer med sina ändringsyrkanden är att vi inte ges möjligheten att uttrycka någon frivillighet. Vi får helt enkelt inte veta, och vi får ingen möjlighet att säga ja eller nej. Det är det som är problemet med Anna-Maria Corazza Bildts ändringsyrkanden - de tar bort rättigheter, valfriheter och självbestämmande från europeiska medborgare.

Kollegor som Anna-Maria Corazza Bildt har affilierat sig med: Sean Kelly, irländsk konservativ ledamot tillika föredragande för yttrandet om dataskyddsförordningen i industriutskottet. Fick mycket hård kritik av olika civilsamhällesaktörer och undergräver totalt allt personuppgiftsskydd i EU (se http://www.theregister.co.uk/2013/02/22/european_parliament_industry_committee_data_protection_amendements/ ); samt Lara Comi, en italiensk konservativ ledamot tillika föredragande i utskottet för konsumenträttsfrågor vars yttrande om förordningen fick ännu hårdare kritik (se t ex http://www.techweekeurope.co.uk/news/eu-committee-votes-to-water-down-data-protection-regulation-105326 ). Se också mer information om vart och ett av utskotten och deras arbete på http://protectmydata.eu.

When American lobbyist and EU representatives are too good friends

Felipe Gonzalez Santos — Thu, 14 Feb 2013 16:33:00 +0000

Language English

The relation between some EU representatives and American lobbyists looks to me like the one between a nice kid and the bully of the classroom that has to retake his classes. The nice one might be encouraged to do naughty things; his marks will probably be negatively affected and his parents are for sure worried about the friendship. The idea of hanging around with the bad boy of the class might sound very cool, but the risks of a bad ending to the story are high.

British press (The Telegraph & The Independent) is reporting on research which shows that almost every fourth amendment to the data protection regulation of some British MEPs is an exact copy of one appearing in American lobbyists papers. Moreover, as you can see in this website, this issue does not stay just within the borders of the British islands, but many MEPs from other countries are doing the same.

There is no problem in listening to the advice of experts and different groups of society but keeping too much attention to private interests that are coming from outside the EU, and particularly from a country where the protection of personal data is not recognized as a Fundamental Right like it is in Europe, might be a little dangerous. Moreover, I find it difficult to imagine an American congressman or congresswoman following so precisely European companies' suggestions. To be honest, that situation wouldn't even make too much sense to me. How can the EU be innovative if we try so hard to repeat the same mistakes made in other parts of the world? How can we aspire to be a global leader if one quarter of the modifications we make to our laws are 'inspired' by foreign companies?

If you want to remind to your representatives that it was you who voted for them and not foreign firms, you can find how to do so in this website: http://www.privacycampaign.eu/

Förvirring kring telekominfrastruktur i parlamentet

Amelia Andersdotter — Tue, 12 Jun 2012 14:58:23 +0000

Language Swedish

Tidigare idag röstade parlamentet om ett så kallat initiativbetänkande om skyddsåtgärder för kritisk informationsinfrastruktur. Arbetet är tänkt att bereda parlamentets ställningstagande inför de vidare diskussionerna om kritisk informationsinfrastruktur som vi förväntar oss när kommissionen meddelar sitt förslag på förändringar i rådets direktiv 2008/114/EG om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna. På min uppmaningen röstade Greens/EFA emot betänkandet, och här försöker jag lite mer genomgående förklara varför jag har rekommenderat min grupp att rösta så:

Infrastruktur

Olyckligtvis är betänkandet behäftat med en rad problem. Parlamentet, och mitt utskott (se min text om behandlingen av betänkandet i ITRE), har blandat ihop olika säkerhetsbegrepp inom informationsteknologi. Där direktivet man hade som utgångspunkt är tydligt fokuserat på den väldigt viktiga fysiska infrastrukturen, har det här betänkandet försökt dra upp riktlinjer för allt från kablar och basstationer till mejlklienter och webbläsare. Det är en olycklig sammanblandning eftersom de åtgärder som krävs för att komma till rätta med problemen i dessa tekniskt, och funktionellt, väldigt olika områden är annorlunda. Samma vecka som vi röstade i utskottet drabbades Vodafone av fyra timmars nätverksstörningar eftersom de hade haft bränder i basstationerna - de delar av mobiltelefonnätverket som tar emot och skickar vidare signaler mellan användarnas mobiltelefoner. En undersökning från Norge visar tydligt att många av de största problemen med robusthet och pålitlighet i nätverken behöver åtgärdas med bättre roaming mellan operatörernas infrastruktur - den typen av säkerhet har helt åsidosatts i betänkandet.

Inte infrastruktur.

Samtidigt har man fokuserat väldigt mycket på brottslighet utförd på nätet med hjälp av mjukvara. Det är i bästa fall kopplat till någon form av nätverkssäkerhet, men mycket vanligare är att det helt enkelt inte alls är kopplat till någon säkerhetsfråga alls utan har att göra med andra fenomen: en vilja att lura folk på pengar (uppstår också utanför nätet), en vilja att lyssna på musik (uppstår också utanför nätet). Jag förstår att vissa av mina kollegor upplever att det finns ett stort behov att diskutera förekomsten av dessa, till cybersäkerhet orelaterade, fenomen. Diskussionen har dock redan har utförts i LIBE-utskottets betänkande om cyberbrottslighet, som fokuserar på de tillfällen då individer skaffar sig tillgång till data utan tillåtelse. Vill man åtgärda immaterialrättsliga problem och upphovsrättsfrågan, som jag vet ligger många av mina kollegor nära, är det också helt okej att vilja föra en sådan diskussion - inom ramen för diskussioner om upprätthållande av immaterialrätter! Att immaterialrätterna och tillhörande problem just inte ska diskuteras i säkerhetssammanhang, eftersom det effektivt minskar vår beredskap att hantera svåra säkerhetskriser med avseende på infrastruktur och allmänna säkerhetsstrategier, har parlamentet dessutom fastställe i EU:s interna säkerhetsstrategi så sent som förra plenarsessionen i maj. Där uppmanar parlamentet uttryckligen kommissionen att inte inkludera immaterialrätter i sin säkerhetsagenda, eftersom det trots allt är en ekonomiskt, kanske en folkrättslig, fråga, snarare än en något som ska stå i vägen för pålitlig, robust infrastruktur.

Det är väldigt olyckligt att informationsteknologiska frågor ses som ett paket, där alla saker med nödvändighet behöver regleras samtidigt och på samma plats. Informationsteknologin är numera så integrerad i vårt samhälle att det är mycket svårt att se hur vi kan hantera de utstående frågorna som berör teknologierna på annat sätt än genom att behandla dem var för sig, inom det område där det bäst lämpar sig att diskutera dem. Som lagstiftare behöver vi fråga oss om det verkligen är rimligt att tro att starkare upphovsrättsskydd kan skydda oss från effekterna av bränder i Vodafones basstationer, eller om en telefonkabel som fallit till marken på grund av tung snö eller som skadats vid grävarbete kan åtgärdas genom att häkta en ddos:are.

Med det sagt innehåller initiativbetänkandet också några bra punkter. Politiskt går det dock utmärkt, till och med bättre, att extrapolera sådana klokheter från det tidigare direktivet och utskottets tidigare ansträngningar med att utforma ett framtida uppdrag för EU:s nätverkssäkerhetsagentur ENISA. Betänkandet som mot mina och min politiska grupps rekommendationer antogs idag bidrar olyckligtvis mest till en förvirring som förhoppningsvis hinner lägga sig innan kommissionens lagstiftande förslag anländer till hösten.

Amelias yttrande över ACTA gick igenom

Maria Noleryd — Thu, 31 May 2012 09:04:20 +0000

Language Swedish

Idag har Industriutskottet (ITRE), där Amelia är ledamot, röstat om ACTA. Amelia var föredragande för punkten, och hade föreslagit utskottet att rösta mot ACTA.

Industriutskottet valde att gå på Amelias linje, och röstade i förmiddags mot ACTA-avtalet.

Mer information, och uttalande från Amelia, finns i pressmedddelandet här.

Ytterligare ett utskott har röstat idag, utskottet för rättsliga frågor (JURI), som också röstade mot ACTA.

I eftermiddag röstar utskottet för medborgerliga fri- och rättigheter (LIBE) om ACTA-avtalet. Uppdatering: Nu har även LIBE röstat mot ACTA, således tre utskott på en dag som stakat ut samma riktning.

Inget är dock klart, förrän plenarsessionen där hela parlamentet röstar. Yttrandena från utskotten är endast rekommendationer till parlamentet. ACTA-omröstningen i parlamentet är planerad till början av juli.

Andra om detta:

Falkvinge: Three strikes against ACTA in European Parliament Today

DN: Acta-avtalet röstades ner

Europaportalen: Acta-avtalet föll i två utskott

Christian Engström: Two EU Parliament committees narrowly recommend rejecting ACTA

Workshop on Data Protection Regulation

Julia Reda — Wed, 30 May 2012 16:11:55 +0000

Language Swedish

On Tuesday, May 29, LIBE rapporteur Jan Philipp Albrecht, MEP of the Greens/EFA group, hosted a debate on the proposed Data Protection Regulation (downloadable here). Stakeholders from business to civil society and representatives of the EU institutions gathered in the vast Brussels plenary chamber of the EP to exchange their views and concerns on the future of data protection in the EU. The three panels treated in turn the scope and principles of the proposal, the data subject rights and the roles of Data Protection Authorities (DPAs) and Data Controllers. This report highlights some of the many issues brought forward by panelists and attending stakeholders alike.

Data Protection as a Fundamental Right

The first panel, consisting of Peter Hustinx, European Data Protection Supervisor, Peter Drunkenmöller, representative of the loyalty card system Payback and Joe McNamee of European Digital Rights organization EDRi, showed remarkable agreement that a regulation is indeed the best tool for addressing data protection on a European level. While Drunkenmöller emphasized the positive impact of a harmonized EU data protection regime for the expansion of businesses, McNamee welcomed the improvement of data protection implementation through the regulation. As he pointed out, data protection's inclusion in the Charter of Fundamental Rights constitutes a binding promise of the EU to its citizens to not just pay lip service to this right, but to effectively implement it in all member states.

Repeated attempts from business representatives in the audience to frame data protection as a consumer right rather than a fundamental right (as a Privacy International attendee correctly pointed out, consumer rights are fundamental rights) and to argue that fundamental rights were only supposed to protect the individual from the state and not require the state to regulate business were rightly shot down by the panel. Hastings pointed towards horizontal relations in fundamental rights, i.e. the obligation of the state to actively guarantee those rights.

Strengthening the Implementation of Data Protection

In order to further improve the implementation of the right to data protection, EDRi identified potential loopholes in the draft: The exemption of law enforcement from the scope of the regulation, which could be interpreted as including private security contractors, would give foreign governments the opportunity to access EU citizens' data through private companies. As McNamee pointed out, no foreign government should be able to circumvent EU law.

Another point of criticism was the vague nature of the legitimate interest clause that allows companies to process data without explicit consent. One national high court had ruled that even an ISP's snooping for copyright infringements by its customers was a legitimate interest. McNamee suggested to strengthen the clause to make sure that the need for consent to data processing could not be overridden by an ISP's contract with a customer.

Effects of the Data Protection Regulation on Media

Several media associations weighed in on the debate with differing concerns regarding the draft. A representative of the European Newspaper Association criticised that the exemption for journalists from parts of the data protection regime was left to the member states to implement. She suggested that the aim of balancing data protection with freedom of expression would be better served by making the exemption directly legally binding within the regulation.

A member of the Newspaper Publishers Association pointed towards the importance of the legitimate interest clause for newspapers' business models, defending the practice of sending addressed letters to households without consent, in order to acquire new customers. Hastings assured that the inclusion of a legitimate interest clause in the regulation was necessary due to a ruling of the European Court of Justice, but strong safeguards like the right to objection were necessary to protect citizens' rights.

Right to be Forgotten

The second panel on data subject rights featured some criticism of the newly introduced right to be forgotten. Marisa Jimenez of Google argued that in the digital environment, an individual user is not always just the data subject, but also often the data processor. Google proposed not to enforce the right to be forgotten against individuals, introducing a household exception to the text. In a similar vein, Nuria Rodriguez of the European Consumers' Organization (BEUC) argued that while the concept was to be welcomed in principle, the enforcement against individuals could collide with their freedom of expression, or could be grounds for companies to filter content. Leila Schilthuis, formerly associated with the International Centre for Missing and Exploited Children (ICMEC), warned that the enforcement of the right to be forgotten against individuals (e.g. teenagers sharing group photos) would be very difficult. In her opinion, the regulation should focus on effectively enforceable provisions in order not to mislead individuals, and to support awareness programs for children and their parents when dealing with personal data on the internet. To further protect minors from being targeted by online marketing, the regulation should include safeguards against the use of meta-data produced by minors.

Transparency

Rodrigez of BEUC drew attention to the importance of transparency to individuals in matters of data protection. She welcomed that the regulation asks for easily understandable information on the processing of data, but wanted to extend the principle of transparency and readability by making standard forms for privacy policies a requirement. The information a data controller has to provide to a data subject should also be extended to include the type of personal data collected.

Strengthening Data Protection Authorities

The last panel mainly focused on the role of Data Protection Authorities. Laetita Kroener of the Article 29 working party asked that the role of the European Data Protection Authority be strengthened vis-à-vis the Commission. Philip Schütz, a researcher at the Fraunhofer Institute for Systems and Innovation who is working on the comparative analysis of DPAs, identified two major factors in the efficiency of DPAs: independence and funding. As data protection must be followed by private companies as well as government institutions, DPAs, that are closer to government than to industry, must be organisationally and financially independent of the institutions they may be scrutinising.

As DPAs have to fulfill a wide variety of obligations, from complaint handling to education and advice, they require adequate resources, as outlined in the regulation. Schütz criticised that the term "adequate resources" may be open to interpretation by member states. Along with Kroener, he cautioned for stronger independence of the DPAs from the Commission.

A large number of diverse interests were voiced during the well-attended workshop, covering all of which would certainly exceed the reader's attention. Further information can be gathered from the opinions on the data protection reform issued by various parties.

Green Group briefing on Data Protection

Mattias Bjärnemalm — Thu, 26 Apr 2012 10:55:28 +0000

Language Swedish

One of the main perks of being part of a political group within the European Parliament is the access to a group of informed policy advisers that keeps tracks on all the dossiers that float around in the system. Below I would like to share some parts from a briefing document on Data Protection that was sent to the Green group some days ago.

Background

In accordance with article 8 of the EU Charter the Right to personal data protection:

1. Everyone has the right to the protection of personal data concerning him or her.

2. Such data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by law. Everyone has the right of access to data which has been collected concerning him or her, and the right to have it rectified

3. Compliance with these rules shall be subject to control by an independent authority.

Since the adoption of Directive 95/46 on the protection of individuals with regard to the processing of personal data and on the free movement of such data a lot has changed in the area of data protection, notably technological developments, increased collection and processing of personal data for law enforcement purposes with a patchwork of applicable data protection rules and globalization of markets and cooperation. Furthermore the directive has failed to achieve a proper harmonisation due to the different implementation of its provisions in the Member States. In this context it has become increasingly difficult for individuals (‘data subjects’) to exercise their right to data protection. This problem is particularly visible as regards social networking sites like Facebook and surveillance measures like the use of telecommunication data (Data retention) and Passenger Name Records for law enforcement purposes. Furthermore it has hampered the development of the Single Market with companies (controlling or processing personal data, ‘data controllers’) and consumers facing differences in data protection requirements. There is also a concern regarding the protection in particular sectors, such as employment

Since the entry into force of the Lisbon Treaty the Union has an explicit legal basis for data protection covering processing of personal data in the public and private sector but also in the context of law enforcement (resulting from the collapse of the pre Lisbon “pillar structure”). The Commission has now used this legal (article 16 (2) TFEU) to present proposals for a revision of the Union's data protection framework. It proposes a Regulation (COM (2012)11) that will replace Directive 95/46 and amend Directive 2002/58/EC on E-privacy and a Directive (COM(2012)10) that will replace Framework decision 2008/977/JHA on the protection of personal data processed for the purpose of prevention, detection, investigation or prosecution of criminal offences.

Contents

The fact that the Commission chose to replace Directive 95/46 with a (directly applicable) Regulation should reduce the fragmented approach to data protection among Member States. It did however choose to leave quite some room for Member States to maintain or adopt specific rules (e.g. regarding the public interest (article 21), freedom of expression, professional secrecy, health and employment (articles 80-85) and for the Commission to adopt delegated and implementing acts, such as on the threshold for a data breach notification.

Furthermore the Commission failed to deliver a comprehensive system of data protection as Parliament called for in the Resolution 2011/0323 adopted on 6 July 2011. The Regulation does not cover law enforcement cooperation (on which the separate Directive is proposed). Furthermore data protection rules for EU institutions and bodies based on Regulation 45/2001 are excluded from its scope. Processing by Europol and Eurojust and data processing within the context of Common Foreign and Security Policy are also excluded.

This leaves legal uncertainty as regards rights and obligation in borderline issues, for instance where commercial data is used for law enforcement purposes and transfers between authorities that are responsible for law enforcement and those that are not. Further clarification, for instance in article 21, is needed.

The proposed regulation will be applicable to EU and non-EU companies. It will therefore have an extra-territorial effect, meaning that it will apply to controllers that are not established in the EU but are active in the market of the EU by offering goods or services to data subjects residing in the EU or by monitoring their behaviour.

The Regulation clarifies and strengthens a number of data protection rights and principles in the light of technological changes and globalization.

The inclusion of a transparency requirement (articles 11, 14) leads to stricter obligations to inform data subjects. It is also specified that accordance with the principle of data minimization the collection of and processing personal data should be limited to a minimum. Furthermore the data controller has to demonstrate compliance with the Regulation. The principle that data should be limited for a specific purpose and must not be further processed in a way incompatible with the purposes for which they have been collected.

The requirements for obtaining consent of the data subject for data collection and processing are clarified (article 7). Consent has to be given explicitly (‘opt-in’). For children under the age of 13 the parent’s consent is explicitly required before data collection and storage is allowed.

The right of access is strengthened by imposing deadlines and the duty to motivate a refusal to grant access. Furthermore the right to erasure has been strengthened into a ‘right to be forgotten’ (article 17). Data subjects will be able to demand that the data controllers take all reasonable steps to ensure deletion of their data if there are no legitimate grounds for retaining them and especially where those data have been published and republished online. There has been some controversy around this provision, particularly as regards its enforceability, the relationships with the freedom of expression and burdens on business.

In addition a right to data portability is introduced (article 18). This right is designed to facilitate an individual's access to personal data and ensure that people will be able to transfer personal data from one service provider to another more easily.

There is a fear that the rules on profiling will be difficult to understand and apply in practice. The regulation only imposes limits on automated processing of personal data (article 20), which results in decisions adversely affecting the person or are based on sensitive data. This ensures that human intervention remains necessary. It does however not prohibit the sorting of people based on profiles as such.

An important element of the proposal is a shift from notification requirements to the data protection authorities to practical compliance and individual empowerment (article 22). The regulation furthermore introduces the obligation to keep documentation of all processing operations (article 28), to notify security breaches (articles 31,32) and to perform a data protection impact assessment (article 33).

The proposed Regulation sets out obligations of the controller arising from the principles of privacy by design and by default (article 23 (1) and (2) respectively). “Privacy by design” means that data protection safeguards should be built into products and services from the earliest stage of development. “Privacy by default” means that the default setting should be those that provide the most privacy.

The article on data protection by design and default is important to ensure that for instance the privacy settings of social networking platform allow the data subject the choice to opt for more intrusive use of its personal data then strictly necessary for the simple use of it.

The security breach notification builds on article 4(3) of the E-privacy directive. If data is accidentally or unlawfully destroyed, lost, altered, accessed by or disclosed to unauthorised persons, organisations will have to notify both individuals and the relevant supervisory authority, where feasible within 24 hours. It will have to be debated how realistic the 24 hour threshold is.

In accordance with article 35 of the proposal data controllers or processors with more than 250 employees or whose core business it is to process personal data will have to appoint a data protection officer to monitor internal compliance with the regulation. The benchmark of 250 employees has been criticised for being either to high (effectiveness) or too low (costs). It is unclear whether the number of employees is the right standard to be applied.

The provisions relating to the third country data transfers are modified compared to the existing rules. As an example, the current prohibition of any transfer to countries that are not deemed adequate is replaced by a general principle that transfers can take place only if the conditions for transfers set fourth in the proposal are met. As hitherto, the Commission’s power to adopt decisions recognising the adequacy or the non-adequacy of a third country, will be maintained, but will now also involve international organisations and sectors. In the absence of an adequacy decision, the controller or processor should take appropriate safeguards measures such as binding corporate rules, standard data protection clauses adopted by the Commission or by a supervisory authority.

The proposed Regulation implements a “one-stop-shop” approach to data protection compliance in the EU (article 51). The new competence as lead authority in case that a controller or processor is established in several Member States will ensure unity of application. The one-stop-shop will apply to organisations as well as to data subjects. Organisations will only have to deal with a single national data protection authority in the EU country where they have their main establishment. A data subject will be able to refer to the data protection authority in their country, even when their data is processed outside their home country.

The independence and the powers of supervisory authorities will be strengthened as regards investigative powers and sanctions. They will be able to impose fines of up to 1 Million Euro or 2% of global annual turnover of a company for violation of data protection rules. They will furthermore receive enhanced funding.

Cooperation between DPAs will also be strengthened in the context of a European Data Protection Board (which is to replace the current "article 29 Working Party"). The Board will consist of a head of a supervisory authority of each Member State and of the European Data Protection Supervisor.

Datasäkerhet som lagstiftningsobjekt

Amelia Andersdotter — Mon, 23 Apr 2012 04:10:17 +0000

Language Swedish

Jag skickade nyss ut ett pressmeddelande där jag försöker kortfattat förklara bakgrunden till ett förslag som rönt viss uppmärksamhet bland datasäkerhetsexperter de senaste veckorna.

Vissa frågor jag har fått från andra medlemsländer (Frankrike och Tjeckien) verkar indikera att många tror att förslaget parlamentets utskott för mänskliga rättigheter och inre säkerhet (LIBE) röstade igenom för två veckor sedan är någonting nytt. Så är det egentligen inte. Direktivsförslaget (på EU-språk: meddelande från kommissionen, alt. på engelska communication from the commission) 2010/0273(COD) är egentligen en omarbetning av ett gammalt rambeslut från kommissionen och rådet, 2005/222/JHA (Rådets rambeslut 2005/222/RIF av den 24 februari 2005 om angrepp mot informationssystem). Det behandlades av parlamentet redan 2002, och kommissionens förslag på omarbetning till direktiv som publicerades 2010 var snarlikt den gamla förordningen. På Europaparlamentets webbplats för uppföljning av lagstiftningen finns ännu ingen länk publicerad till det förslag LIBE-utskottet faktiskt antagit så det är svårt att säga hur det egentligen har förändrats.

Det som är väldigt tydligt i de debatter som förs om datasäkerhet i parlamentet - till exempel ITRE-utskottets debatter tidigare i år om ENISA - och även de rapporter som kommer från datasäkerhetsdebatter på kommissionen är dock att man, precis som jag nämner i pressreleasen, lägger ett onödigt fokus på distributed denial of service-attacker. Det är nog som Bruce Schneier nämner "en funktion av mediarapportering snarare än någon faktiskt hackingepidemi". Visst visar det sig också att majoriteten av just DDoS-attacker verkar vara politiska snarare än utslag för ökad kriminalitet eller osäkerhet i våra datasystem.

Ett EU-land där man stundtals kommit längre i politiska säkerhetsdebatter än andra länder är Nederländerna. Där lyckades underkammaren ("Tweede kamer", motsvarande svenska riksdagen) nyligen ställa frågan till landets regering om landets SCADA-system egentligen var väl säkrade. SCADA-system är sådana datasystem som ofta hanterar väldigt specialiserade uppgifter. De består av hårdvara och mjukvara och kan förekomma i till exempel vattenreningsverk, kärnkraftverk eller andra platser där man förväntar sig någon form av datorkontroll men inte nödvändigtvis en dator i form av persondator (alltså, sådan dator vi vanligtvis hittar i hemet eller på kontoret). Det svarade regeringen att de visst var och lade till att de i de flesta fall inte var uppkopplade mot internet alls, eller hade egna nätverk. Men ja, kommer man i närheten av ett sådant system med t ex en USB-sticka, eller tar sig till ett av nätverkspunkterna för systemens interna nätverk, kan man nog åstadkomma en del ändå.

Ett vanligt exempel att ta upp på när just överbelastningsattacker (DDoS) varit stora problem i Europaunionen är den attack som skedde mot Estland 2007. Det är allmänt vedertaget att den attacken inte var organiserad och berodde på Estlands dåförtiden dåliga infrastruktur. Man löste sedermera problemet genom att ge Estland fler kopplingar än en till omvärlden, informationsinfrastrukturellt sett. I många fall där överbelastningsattacker varit aktuella ser man också väldigt tydligt att det är just aktörer som har centraliserad infrastruktur som drabbas. VISA och Mastercard, men däremot inte Amazon som hade servrar i flertalet medlemsländer vid tiden för de uppmärksammade attackerna till stöd för Wikileaks.

Nu är det förvisso into politikers uppgift att se till varken SCADA-system, internet exchanges eller serverhallar är säkra från yttre hot. Däremot kan det ligga inom en politikers uppgift att se till att den industri som tillhandahåller de här systemen inte kommer undan med att lämna säkerhetsläckor i tekniken.

Det är politiker oftast väldigt usla på att göra.

Eftersom vi som yrkesgrupp är rätt mediakänsliga, agerar vi ofta på vad Schneier refererar till som "funktioner av mediarapportering" snarare än faktiska behov.

Dessutom tycker jag mig märka en oro inför att industrin, i det här fallet säkerhetsindustrin eller till och med hårdvaruindustrin, skulle kunna bli överreglerad. När man oroar sig för att industrin ska överregleras är det naturligtvis lättare att stifta en lag sådan att ansvaret för att någonting gått fel läggs på offentliga institutioner, i det här fallet domstolsväsendet och landets fängelser (eftersom man har kriminaliserat olika typer av dataintrång).

Den här skiftningen av ansvar från de aktörer som egentligen har makten att verka förebyggande, till offentliga institutioner som egentligen bara kan verka efter att någonting egentligen har hänt (såvida de inte tar över vissa delar av också den kommersiella produktionen, vilket man naturligtvis kan tänka sig att de bör eller kan göra) sker inte bara i säkerhetsindustrin. Överlag är det, precis som jag skrev om PNR här om dagen, ganska lätt för vilken industri att helt enkelt skjuta upp vidtagande av adekvata åtgärder tills dess att offentliga institutioner känner sig nödgade att ta över det som i slutändan alltid är ett ekonomiskt ansvar för att se till att rätt åtgärder faktiskt hamnar på plats.

Voting on PNR

Amelia Andersdotter — Fri, 20 Apr 2012 08:54:38 +0000

Language Swedish

Yesterday the European Parliament voted on an agreement between the EU and the United States Passenger Name Records, PNR (results here). There is a quite good summary of the agreement and the process leading up to it on EUObserver. The rapporteur, Sophie in't Veld from Dutch centre-left liberal party D66, requested to be disassociated from the report upon its approval (voting for the report, was voting for the agreement, and to vote against the agreement we had to vote against the report). Sophie in't Veld has been one of the strong advocates for privacy in the Liberal Group of the European Parliament for a number of years and bore the main responsibility for the report on the PNR agreement. The disassociation basically means her committee, and the parliament, is acting against what she feels is the best interest of the European Union citizens and that she does not want to be associated with the agreement passing into effect.

I, along with the Pirate Party delegation, participated in a political protest against the agreement with a number of other political parties. We voted against.

One of the Swedish members who voted for the agreement argued in Swedish daily news paper that the data is already transfered and that the agreement simply creates rules for transfer that is already occurring. There are certain merits to this statement.

An expert invited for a seminar by the Green Group last year, Edward Hasbrouck, suggested that the flight industry already transfers passenger name records in the way that we, as privacy advocates, want to stop since the 1980s. He also believes that transfer of passenger name records from flights inside of Europe cannot be said to be transferred to the US as part of a "legitimate business interest", which means that the PNR transfers are actually already illegal from the perspective of European Union directive on data protection from 1995. One of the problems for the airlines industry, which was already a problem in 1995, is of course that their data systems are made in such a way that this transfer occurs anyway, and that the only way they can stop these transfers is by upgrading their data systems.

One could argue, of course, that it's in the interest of the industry to upgrade their data systems if the presently active ones are from the 1980s. But the flight industry is very important for society - this is, for instance, how the European Parliament is able to convene every week in a geographical location different from the one where most of its members live - and thus is probably just waiting for some kind of public subsidy to step in and take over the costs of the upgrade. Eventually it will be so beneficial to society for the upgrade to get made, that the public institutions can't escape stepping in. What the members of parliament that voted for the agreement yesterday expressed, was actually just that this time has not yet arrived.

Of course, in making this statement they are making Europe weak. Europe wants to have a high privacy protection for data subjects located on European soil. This much is clear from the European Convention of Human Rights, the Data Protection Direction Directive from 1995 and the recently proposed Data Protection Regulation and Directive of the European Commission in January 2012. Now that the Parliament is expressing a contradictive strategy with respect to passenger name records, one could argue that internationally we will look weak. Because actually the European public institutions and our democratically elected representatives are unwilling to accept the consequences of making Europe a world leader in privacy technologies, privacy protection and the new information landscape defined as a space for users and citizens.

There are many financial interests at the back of the debate on PNR, and sooner or later we will have to move the privacy debate to those financial interests and how to deal with them. In the case of PNR, rather than signing a distressingly compromised agreement with the United States, Commissioner Malmström could be working on how to deal with European entities in Europe and how they deal with European data. Why she and her predecessors at the Commission did not start doing this already in 1995 is beyond me, but maybe it is not too late to start.