Så blir dataskyddsåret 2024

Nu på söndag, den 28 januari, är det den internationella dataskyddsdagen. Datumet har valts eftersom Europarådets dataskyddskonvention öppnades för undertecknande den dagen 1981. Dataskyddskonventionen var det första bindande internationella instrumentet på dataskyddsområdet – det internationella dataskyddet är alltså över fyrtio år gammalt. Men det svenska dataskyddet är faktiskt äldre. 2023 firade både IMY som myndighet och dataskyddslagstiftningen i Sverige 50 år. Mycket har hänt sedan 1973 och utvecklingen går allt snabbare. När jag blickar framåt ser jag att 2024 kommer att bli riktigt händelserikt, ett år i dataskyddets tecken. Här är ett axplock av vad vi har att se fram emot.

Ny lagstiftning för brottsbekämpningen

2024 kommer att vara ett år då åtgärder mot den organiserade brottsligheten och skjutvapenvåldet står fortsatt i fokus. Det pågår ett omfattande utrednings- och lagstiftningsarbete för att ge de brottsbekämpande myndigheterna fler och bättre verktyg, till exempel när det gäller hemliga tvångsmedel, kamerabevakning och datalagring. Det är angeläget att ge polisen effektiva verktyg i arbetet mot grov och organiserad brottslighet och att rätten till privatliv bevaras. Nyttan de brottsbekämpande verktygen ger måste stå i proportion till intrånget i den personliga integriteten. För IMY är det en viktig prioritering att bidra till lagstiftningsarbetet på ett konstruktivt och aktivt sätt. Vi ser att vi kan göra störst nytta när vi kommer in tidigt i processen genom att medverka som experter i utredningsarbetet eller genom samråd med utredningar. Under 2024 kommer vi därför att medverka med experter i, och samråda med, ett stort antal utredningar. Vi kommer också att svara på ett stort antal remisser. Vårt mål är att lagstiftningen ska ge en bra balans mellan brottsbekämpning och integritetsskydd.

Det stora AI-året

Mycket talar för att 2024 kommer att bli det stora AI-året. Med det menar jag att det är året då AI går från att vara ett omtalat och omskrivet tekniskt fenomen till att bli ett verktyg som används i alla olika typer av verksamheter. Att börja implementera AI i den egna verksamheten kommer att vara en stor och viktig fråga för ledningen i alla verksamheter i år.

Allt talar också för att 2024 blir året då EU antar AI-förordningen. Förordningen kommer att fokusera på användningsområden för AI-system som antingen pekas ut som förbjudna områden eller som anses medföra hög risk men får användas med tydliga transparens- och tillsynskrav.

AI-förordningen kommer att slå fast att dataskyddsförordningen ska gälla ograverad. Enkelt kan det tyckas, men vi ser redan nu att det kommer uppkomma många svåra tolkningsfrågor och att omfattande vägledning kommer att behövas, inte minst från dataskyddsmyndigheterna.

Vi på IMY fokuserar på att läsa in oss på, förstå och analysera AI-förordningen. På så sätt hoppas vi vara väl förberedda på nya uppdrag när AI-förordningen är på plats.

Nya projekt i vår regulatoriska sandlåda

AI-förordningen kommer ställa krav på att det ska finnas regulatoriska sandlådor för nya AI-lösningar. Enligt förordningen ska den nationella dataskyddsmyndigheten, i Sveriges fall IMY, delta i arbetet med dessa regulatoriska sandlådor.

Vi har redan börjat arbeta med en regulatorisk sandlåda om dataskydd sedan något år tillbaka. I sandlådan kan vi på ett tidigt stadium vid innovation påverka de utvecklingsfrågor som rör dataskydd och ge vägledning som är till nytta för många. Vi är faktiskt den första och hittills enda svenska tillsynsmyndighet som använder detta arbetssätt. Vi har fått mycket positiv feedback, både från verksamheter som arbetar med innovation men även från andra tillsynsmyndigheter som visat stort intresse att få veta mer om vårt arbetssätt.

Nu i februari kommer vi att publicera rapporten från vårt andra pilotprojekt i den regulatoriska sandlådan, ett projekt som avser trygghetsmätning i offentliga miljöer med hjälp av IoT-teknik. Under 2024 kommer vi att utföra ytterligare två till tre projekt i den regulatoriska sandlådan.

IMY kommer utreda fler klagomål

En nyhet med dataskyddsförordningen var rätten för enskilda att ge in klagomål till dataskyddsmyndigheten om överträdelser av dataskyddsregelverket. I Sverige har tillsynsmyndigheter traditionellt kunnat bestämma själva om de anser att ett klagomål bör leda till tillsyn eller inte. Det har länge varit osäkert om dataskyddsförordningen ändrat på detta. I november 2023 kom vägledande avgöranden från Högsta förvaltningsdomstolens som innebär en betydande förändring av synen på klagomål till IMY. Den som har gett in ett klagomål till oss har nu rätt att överklaga våra beslut och blir part i våra ärenden. Från IMY:s perspektiv är det positivt att vi nu fått tydliga besked som gör att vi kan bygga nya och stabila processer. Den nya ordningen innebär att vi kommer att inleda tillsyn i betydligt fler klagomålsärenden än tidigare. Detta kommer leda till bättre möjligheter för enskilda att få sina rättigheter tillgodosedda. Samtidigt kommer den nya ordningen vara resurskrävande och leda till längre handläggningstider. Vi kommer under våren att ta fram nya processer för vår klagomåls- och tillsynshantering för att skapa ett så effektivt förfarande som möjligt.

Mer vägledning och smartare tillsyn

En av våra ambitioner är att IMY ska ge mer och bättre vägledning för att det ska bli lättare för myndigheter, företag osv. att följa dataskyddsregleringen. Vi har därför under 2023 vänt oss till en rad organisationer, myndigheter m.fl. för att få en bättre överblick över vilken vägledning som efterfrågas. En fråga som ligger högst upp på många listor är konsekvensbedömningar. Vi kommer därför att under 2024 att ta fram mer vägledning på det området. Vi kommer också att fokusera på innovation och brottsbekämpning.

Under året är vår målsättning att skapa mer utrymme för att bedriva en effektiv riskbaserad och planerad tillsyn med fokus på områden med stora integritetsrisker eller nya tekniska företeelser.

Vår ambition är att framöver koppla ihop vägledning med tillsyn på ett tydligt sätt. Vi eftersträvar att först ge vägledning för att göra det lätt att göra rätt och sedan bedriva tillsyn för att se till att reglerna följs. Vår ambition är också att koppla ihop vår tillsyn med vår omvärldsbevakning och analysen av våra flöden av exempelvis förfrågningar, klagomål och inrapporterade personuppgiftsincidenter för att kunna inrikta tillsynen på områden där den gör störst nytta för integritetsskyddet.

Nya kunskapsfilmer

Historiskt har vi anordnat kurser i dataskydd där deltagarna varit på plats. Under de senaste åren har vi gått över till att hålla dessa kurser digitalt. Nu, under 2024, kommer vi istället att lansera ett antal färdiginspelade kunskapsfilmer som ger grunderna i dataskyddsförordningen. Fördelen med dessa kunskapsfilmer är att man kan se dem när som helst, var som helst och hur många gånger som helst. Vi kommer löpande att bygga på med nya kunskapsfilmer för att på så sätt sprida viktig kunskap om dataskydd. De första filmerna lanserar vi förhoppningsvis redan nästa vecka!

David Törngren
Vikarierande generaldirektör