Kryptering och skaderisk

Slutligen till det sista bedömningskriteriet vid utlämnanden, nämligen den typiska skaderisken för uppgiften närmare bestämt uppgiftens art och känslighet.¹⁸⁷ Syftet med förevarande avsnitt är att utreda huruvida kryptering är användbart för att minska den typiska skaderisken för en sekretessreglerad uppgift. Det kan i sin tur möjliggöra ett utlämnande till en molntjänstleverantör. I avsnitt 6.2.3 presenterades utlämnanden efter pseudonymisering av en uppgift som är sekretessreglerad med hänsyn till förmån för en enskild. I avsnitt 6.2.4 utvecklade jag en tanke om utlämnanden efter ett oskadliggörande av uppgifter som är sekretessreglerade med hänsyn till allmänna intressen. Eftersom krypterad information saknar direktidentifierande uppgifter anser jag att den kan liknas med pseudonymiserad information. Vidare är krypterad information oläsbar varför jag anser att den kan beaktas som oskadliggjord. Jag menar därmed att resonemangen avseende utlämnanden av pseudonymiserade och oskadliggjorda uppgifter efter en sekretessprövning kan appliceras på krypterad information.

I följande resonemang drar jag ledning av JO-ärendet från 2019 som rörde utlämnanden av pseudonymiserade uppgifter om enskilda. Jag anser att JO:s uttalanden

184 eSam 2019-12 s. 51 f. 185 SOU 2018:25 s. 22 och s. 31 f.

186 https://www.regeringen.se/remisser/2018/05/remiss-av-sou-201825-juridik-som-stod-for-forvaltningens-digitalisering/ hämtad 2020-06-01.

56

även är användbara beträffande ett resonemang om oskadliggörande av uppgifter. I avsnitt 6.6.3 nämndes vilka aspekter som enligt JO särskilt bör uppmärksammas vid en skade- och menprövning för utlämnanden av pseudonymiserade uppgifter. Syftet med prövningen är att avgöra om och hur uppgifter kan lämnas ut utan att röja den enskilda individen, med andra ord att det saknas en koppling mellan uppgiften och den enskilde.¹⁸⁸ Beträffande uppgifter med sekretess till förmån för allmänna intressen är det inte aktuellt att resonera om att röja en enskild. Istället är frågan i min mening om uppgiftens innehåll i sig röjs. Jag anser att det för dessa uppgifter således är fråga om huruvida det är säkerställt att uppgiften är oskadliggjord vid ett utlämnande, exempelvis genom att uppgiften är krypterad och därmed oläsbar.

Över till själva sekretessprövningen vid utlämnanden av krypterade uppgifter till en molntjänstleverantör. I sammanhanget är JO:s syn på hanteringen av referensuppgifter särskilt intressant, då det vid utlämnanden till en molntjänstleverantör kan liknas med nyckelhanteringen vid kryptering i molntjänster. Av JO-ärendet från 2019 framgår att mottagarens avskildhet från referensmaterialet är ett nödvändigt, men inte ett tillräckligt, rekvisit för ett godtagbart utlämnande.¹⁸⁹ Jag vill erinra att pseudonymisering är att betrakta som en undantagssituation vid utlämnanden. Min ståndpunkt är därför att det är av största vikt att respektera eventuella krav, såsom mottagarens avskildhet från referensmaterialet, när undantaget tillämpas.

För att mottagaren ska sakna tillgång till referensmaterialet, således kryptonyckeln, aktualiseras samma resonemang som i uppsatsens femte kapitel beträffande att förhindra ett röjande. Slutsatsen var där att IaaS-tjänster kan användas i krypterad form, även om funktionaliteten då försämras. SaaS-tjänster förutsätter däremot dekrypterad information varför molntjänstleverantören måste ha tillgång till kryptonyckeln. Då förevarande undantag förutsätter molntjänstleverantörens avskildhet från kryptonyckeln, och detta endast är genomförbart för vissa tjänstemodeller, har krypteringslösningen beträffande utlämnanden endast en begränsad nytta i praktiken.

Avslutningsvis vill jag lyfta en potentiell fördel som kan åtnjutas genom kryptering vid utlämnanden. I avsnitt 6.2.2 beskrevs den typiska skaderisken hos olika sekretessreglerade uppgifter. Slutsatsen var att utlämnanden kan aktualiseras för uppgifter med ett rakt skaderekvisit medan detsamma svårligen är fallet för uppgifter som regleras med ett omvänt skaderekvisit. Min tanke är att kryptering kan öppna upp för utlämnanden av uppgifter som regleras med ett omvänt skaderekvisit. JO-ärendet handlade om ett

188 JO:s beslut Dnr. 6794–2017. 189 JO:s beslut Dnr. 6794–2017.

57

utlämnande av uppgifter av kvalificerat slag. JO menade att utlämnandet inte var godtagbart trots att uppgifterna hade pseudonymiserats och att mottagaren saknade tillgång till referensmaterialet. Kritiken riktades framförallt mot att uppgifterna var av mycket integritetskänsligt slag och dessutom rent generellt av en karaktär som kunde underlätta identifiering av enskilda individer. Vidare hade det inte varit osannolikt att en så kallad bakvägsidentifikation hade kunnat ske. JO uttalade särskilt kritik mot att det inte hade genomförts någon egentlig prövning av risken för att enskilda skulle lida men på grund av utlämnandet.190

I min mening kan kryptering möjliggöra utlämnanden av uppgifter som regleras med ett omvänt skaderekvisit. Detta under förutsättning att det är säkerställt att den enskilde inte kan identifieras alternativt att den utlämnande uppgiften säkert är oskadliggjord. Mitt resonemang förutsätter dels att ett lämpligt krypto används, således att krypteringen är av god kvalité, dels att molntjänstleverantören saknar tillgång till kryptonyckeln. Eftersom uppgifter som regleras med ett rakt skaderekvisit i de flesta fall lär kunna lämnas ut är kryptering särskilt intressant för uppgifter som regleras med ett omvänt skaderekvisit. Kammarkollegiet har emellertid en intressant iakttagelse som jag anser relevant att lyfta i sammanhanget. Kammarkollegiet menar att det kan vara fördelaktigt att kryptera samtliga uppgifter och inte endast särskilt känsliga uppgifter. Att endast kryptera särskilt känslig information medför enligt Kammarkollegiet att de uppgifterna samtidigt blir mer identifierbara.¹⁹¹ Jag anser att Kammarkollegiets iakttagelse är relevant att beakta.

190 JO:s beslut Dnr. 6794–2017. 191 Kammarkollegiet 2019 s. 34.

58