sou · H4B341 · 2016-06-07 00:00:00 — Medlemsstaterna ska, som huvudregel, anta och offentliggöra de lagar och andra författningar som är nödvändiga för att följa direktivet samt börja tillämpa dessa bestämmelser . 6.6Lagen om elektronisk kommunikation I lagen (2003:389) om elektronisk kommunikation finns bl.a. be- stämmelser om integritetsskydd vid tillhandahållande av elektroniska kommunikationsnät och elektroniska kommunikationstjänster samt vid abonnentupplysning. Regleringen bygger på och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktivet om integritet och elektronisk kommuni- kation). Av 6 kap. 5, 6 och 8 §§ lagen om elektronisk kommunikation framgår att bl.a. tele- och internetleverantörer enligt huvudregeln ska utplåna eller avidentifiera trafikuppgifter när de inte längre be- hövs för att överföra ett elektroniskt meddelande. Det finns dock flera undantag från denna princip. Uppgifterna får bl.a. sparas när det är nödvändigt för att kunna förhindra och avslöja obehörig använd- ning av ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst. De får även sparas om de behövs för abonnentfakturering eller för betalning av avgifter för samtrafik. Om en abonnent eller användare har samtyckt till det, får uppgifterna också behandlas för att marknadsföra elektroniska kommunikations tjänster. innehåller även be- stämmelser om bl.a. säkerhet och tystnadsplikt samt ett förbud mot avlyssning. Av regleringen framgår bl.a. att många lagrade uppgifter endast får lämnas ut när domstol har beslutat om det. 20 Det nya direktivets fullständiga benämning är och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Det grundläggande rättsliga skyddet I direktivet om integritet och elektronisk kommunikation finns även bestämmelser som innebär att medlemsstaterna under vissa närmare angivna förutsättningar får införa andra undantag från skyldigheten att utplåna eller avidentifiera trafikuppgifterna när de inte längre behövs för att överföra ett elektroniskt meddelande. Det var med stöd av den regleringen som bl.a. införde en skyldig- het för bl.a. tele- och internetleverantörer att lagra trafikuppgifter för brottsbekämpande ändamål (se 6 kap. 16 a § lagen om elektronisk kommunikation samt t.ex. Ds 2014:23). och rådets direktiv (2006/24/EG) om lagring av uppgifter som genererats eller behandlats i samband med tillhanda hållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät (Datalagringsdirektivet) inför livades i svensk rätt. Datalagringsdirektivet syftar till att harmonisera medlemsstaternas regler om skyldigheter för leveran- törer av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät att lagra trafik- och lokaliserings- uppgifter samt uppgifter som behövs för att identifiera en abonnent eller användare för att säkerställa att uppgifterna finns tillgängliga för avslöjande, utredning och åtal av allvarliga brott. ogiltigförklarade i sin helhet. Domstolens ogiltigförklaring gäller med retroaktiv verkan från den dag direktivet trädde i kraft. Domstolen anser att Datalagringsdirektivet utgör ett synnerligen allvarligt in- grepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter genom att kräva att dessa uppgifter ska lagras och genom att ge behöriga nationella myndigheter tillgång till dessa uppgifter. Lagringen av uppgifter i syfte att eventuellt över- lämna dem till behöriga nationella myndigheter svarar mot ett mål av allmänt intresse nämligen bekämpningen av grov brottslighet som syftar till allmän säkerhet. Domstolen anser dock att unionslag stiftaren genom att anta Datalagringsdirektivet har överskridit de gränser som följer av proportionalitetsprincipen. Datalagringsutredningen22 har därefter gjort bedömningen att det svenska regelverket om lagring och utlämnande av uppgifter ryms inom de ramar som ställs upp av unions- och europarättens allmänna principer och kravet på respekt för grundläggande rättigheter. 21 Dom i målen C-293/12 och C-594/12, Digital Rights m.fl. 22 Datalagring, och svensk rätt (Ds 2014:23). Det grundläggande rättsliga skyddet tänkandet Datalagring och integritet23 har dock utredningen föreslagit vissa lagändringar i syfte att stärka skyddet för den personliga in tegriteten när det gäller lagring av uppgifter om elektronisk kom munikation för brottsbekämpande ändamål. Datainspektionen har det övergripande ansvaret för att värna skyddet för enskildas personliga integritet vid behandling av personuppgifter. Som framgår av det följande utövas dock viss tillsyn primärt av andra myndigheter. Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen och har bl.a. i uppgift att värna skyddet för enskildas personliga in tegritet vid behandling av personuppgifter. Myndigheten har också ett centralt tillsynsansvar för all kameraövervakning. Datainspektionen har för sin tillsyn rätt att på begäran få tillgång till de personuppgifter som behandlas samt upplysningar och doku- mentation av behandlingen och säkerheten vid denna. Datainspek- tionen har även rätt att få tillträde till sådana lokaler som har anknyt- ning till behandlingen av personuppgifter. Om Datainspektionen inte efter begäran kan få tillräckligt underlag för att konstatera att behandlingen är laglig får den vid vite förbjuda den personuppgifts- ansvarige att behandla personuppgifter på annat sätt än att lagra dem. Vite används dock i regel inte mot statliga myndigheter.24 Om Datainspektionen konstaterar att uppgifter behandlas eller kan komma att behandlas på ett olagligt sätt ska tillsynsmyndig heten, genom påpekanden eller liknande förfaranden, försöka åstad- komma rättelse. Går det inte att få rättelse på annat sätt, eller om saken är brådskande, får myndigheten på motsvarande sätt förbjuda 23 betänkande Datalagring och integritet, SOU 2015:31. 24 Regeringens propositioner brottsbekämpning – Effektivare uppgiftsbehandling. 2004/05:164 s. 54 och Personuppgiftsbehandling hos Försvarsmakten och Försvarets radio- anstalt, prop. 2006/07:46 s. 105; jfr Regeringens proposition Effektivare sanktioner för arbets- miljö- och arbetstidsreglerna prop. 2012/13:143 s. 67 f. Det grundläggande rättsliga skyddet annan behandling än lagring. Datainspektionen får också ansöka hos förvaltningsrätten om att sådana uppgifter som har behandlats på olagligt sätt ska utplånas. utövar tillsyn enligt lagen (1994:1512) om avtals villkor i konsumentförhållanden. kan utfärda förelägganden och inleda rättsprocesser mot företag som bryter mot den lagen. ombudsmän () är en myndighet under och en del av kontrollmakt. Justitie ombudsmannen har bl.a. i uppgift att se till att myndigheter och domstolar följer regeringsformens bestämmelser om opartiskhet och saklighet samt att den offentliga verksamheten inte gör intrång i medborgarnas grundläggande fri- och rättigheter. I tillsynsarbetet ingår bl.a. att kontrollera att myndigheterna handlägger sina ärenden och i övrigt utför sina uppgifter enligt gällande författningar. Justitiekanslern () utövar tillsyn över myndigheter och deras tjänstemän. Tillsynen syftar till att kontrollera att lagar och andra författningar följs och är främst inriktad på att upptäcka syste matiska fel i den offentliga verksamheten. har i uppdrag att utöva tillsyn över behand- ling av uppgifter vid elektronisk kommunikation. Länsstyrelserna utöver tillsyn när det gäller kameraövervakning av platser dit allmän- heten har tillträde. Det finns även sektorsspecifika myndigheter som utövar tillsyn, t.ex. Inspektionen för vård och omsorg, samt Statens inspektion för försvarsunder- rättelseverksamheten. Det grundläggande rättsliga skyddet Regeringen har tillsatt Utredningen om en myndighet med ett samlat ansvar för tillsyn över den personliga integriteten25, som har i uppdrag att bl.a. överväga hur ett i högre grad samlat integritetsskydd kan fungera inom en och samma myndighetsstruktur. Uppdraget ska redovisas . I svensk rätt finns inte något generellt straffskydd mot integritets- kränkningar.26 Som framgår av det följande finns däremot straff bestämmelser i framför allt och personuppgiftslagen som omfattar vissa överträdelser. Antalet polisanmälningar som rör brott mot personuppgiftslagen är dock förhållandevis få. Se vidare kapitel 24. När det gäller förhållandet mellan enskilda är därför de generella straffbestämmelserna i framför allt av störst praktisk betydelse för skyddet för den personliga integriteten. Som framgår nedan finns därutöver vissa möjligheter för den som utsatts för ett integritetsintrång att få skadestånd. I 49 § personuppgiftslagen finns en bestämmelse om straff för den som bryter mot vissa bestämmelser i lagen. För brott mot person uppgiftslagen döms till att börja med den som behandlar känsliga personuppgifter och uppgifter om lagöverträdelser i strid med be- stämmelserna i 13–21 §§. Det är även straffbart att i ostrukturerat material behandla sådana uppgifter om det innebär att den registrera- des personliga integritet kränks (jfr 5 a § andra stycket). Vidare kan den som för över personuppgifter till tredje land i strid med bestäm- melserna i 33–35 §§ dömas för brott mot personuppgiftslagen. 25 Dir. 2014:164 och dir. 2015:139. 26 har däremot i betänkandet En översyn av tryck- och yttrande friheten (SOU 2012:55) gjort bedömningen att det finns ett tydligt behov av en generell straff- bestämmelse utanför det grundlagsskyddade området och att det finns skäl för regeringen att överväga en sådan bestämmelse (s. 433 f.). Det grundläggande rättsliga skyddet när det gäller personuppgifter i ostrukturerat material kan en över föring till tredje land utan adekvat skyddsnivå vara straffbar, om den innebär en kränkning av den registrerades personliga integritet. Slut- ligen döms den för brott mot personuppgiftslagen som lämnar osann uppgift i sådan information till registrerade som föreskrivs i lagen, i anmälan till tillsynsmyndighet eller till tillsynsmyndighet som begär information (43 §). Detsamma gäller den som låter bli att fullgöra skyldigheten enligt framför allt 36 § att anmäla personuppgifts behandling till tillsynsmyndighet. För straffbarhet krävs uppsåt eller grov oaktsamhet. Det är den fysiska personen som har gjort sig skyldig till förfarandet, eller i vissa fall underlåtenheten, som döms för brott, oavsett om han eller hon är personuppgiftsansvarig. Om ett brott har begåtts inom ramen för en näringsverksamhet kan företagsbot enligt 36 kap. 7 § bli aktuellt för näringsidkaren. Påföljden för brott mot personuppgiftslagen är böter eller fäng- else eller, om brottet är grovt, fängelse i högst . I ringa fall döms inte till ansvar. Straffansvaret gäller inte i medier som omfattas av tryckfrihets- förordningen eller yttrandefrihetsgrundlagen. Genom att ansöka om utgivningsbevis hos Myndigheten för radio och tv för en databas som innehåller personuppgifter, kan var och en få grundlagsskydd för databasen och därigenom utesluta en tillämpning av person uppgiftslagen. Mediegrundlagskommittén27 har dock i uppdrag att bl.a. överväga om någon förändring bör göras i detta avseende. Behandling av personuppgifter kan i vissa fall utgöra brott enligt annan lagstiftning, t.ex. . Det gäller framför allt brott som innebär ett angrepp på annans frid, anseende eller ära. Vissa be- stämmelser straffbelägger anskaffning, användning eller spridning av information om privata förhållanden. Andra bestämmelser straff belägger själva intrånget i den fredade sektor där enskilda anses ha rätt att avvisa utomståendes inblandning. 27 Dir. 2014:97. Det grundläggande rättsliga skyddet När det gäller anskaffning av information kan till att börja med nämnas bestämmelsen i 4 kap. 9 c § om dataintrång. Där framgår att det är straffbart att olovligen bereda sig tillgång till uppgift som är föremål för automatisk behandling. Det är vidare straffbart att olovligen ändra, utplåna, blockera eller i register föra in en sådan uppgift. Med uppgift som är avsedd för automatiserad be- handling avses alla uppgifter, dvs. fakta, information eller begrepp, som uttrycks i en för dator anpassad och läsbar form, men också program av olika slag och uppgifter som finns i en dators temporära minne, liksom uppgifter som är under befordran, oavsett på vilket sätt en sådan befordran görs.28 Bestämmelsen förutsätter inte att in- trånget görs i ett visst syfte, t.ex. för att hämta information eller för att åstadkomma skada eller någon annan följd. Vad som beläggs med straff är själva intrånget. För straffansvar förutsätts inte heller att någon säkerhetsåtgärd kringgås.29 Exempelvis en anställd som av nyfikenhet olovligen läser uppgifter i en databas, kan alltså göra sig skyldig till dataintrång. Enligt 4 kap. 9 a § döms den som olovligen, med hjälp av ett tekniskt hjälpmedel för återgivning av ljud, i hemlighet avlyssnar eller upptar tal i enrum, samtal mellan andra eller förhand- lingar vid sammanträde eller annan sammankomst, till vilken allmän- heten inte äger tillträde och som han själv inte deltar i eller som han har berett sig tillträde till utan att ha behörighet till detta för olovlig avlyssning. Bestämmelsens skyddar alltså dels mot avlyssning eller upptagning av tal i enrum – t.ex. diktamen eller bön – dels samtal mellan andra. Det är inte straffbart att spela in samtal som man själv deltar i, oavsett om de andra deltagarna känner till inspelningen eller inte. Straffet för olovlig avlyssning är böter eller fängelse i högst . är det även straffbart att olovligen och i hemlighet fotografera den som befinner sig i en bostad eller på en toalett, i ett omklädningsrum eller ett liknande utrymme (4 kap. 6 a § brotts balken). Sådan kränkande fotografering anses innebära ett intrång i den fredade sfär som enskilda personer bör ha rätt till i förhållande till andra enskilda. Straffet är böter eller fängelse i högst . 28 Regeringens proposition Angrepp på informationssystem, Prop. 2006/07:66 s. 49. 29 m.fl., – en kommentar, kommentar till BrB 4:9 c s. 5. Det grundläggande rättsliga skyddet Gärningen är dock ansvarsfri om den med hänsyn till syftet och övriga omständigheter är försvarlig. Det är inte heller brottsligt att i som led i en myndighets verksamhet ta upp bild av någon. Den som olovligen bereder sig tillgång till ett meddelande som ett post- eller telebefordringsföretag förmedlar som postförsändelse eller i ett elektroniskt kommunikationsnät döms för brytande av post- och telehemlighet till böter eller fängelse i högst (4 kap. 8 § ). Den som ”lyfter vapen mot annan eller eljest hotar med brottslig gärning på sätt som är ägnat att hos den hotade framkalla allvarlig fruktan för egen eller annans säkerhet till person eller egendom” döms enligt 4 kap. 5 § för olaga hot till böter eller fäng- elseihögstettår.Gärningenkanbl.a.begåsmedhjälpavinformations teknik, exempelvis via e-post. Om brottet är grovt är straffet fäng- else lägst och högst . För ofredande döms den som ”handgripligen antastar eller medelst skottlossning, stenkastning, oljud eller annat hänsynslöst beteende ofredar annan”, till böter eller fängelse i högst (4 kap. 7 § ). En gärning ska anses innebära ett ofredande genom hänsynslöst beteende om den enligt en vanlig värdering kan sägas utgöra en kännbar integritetskränkning.30 Det finns inte något generellt förbud för enskilda att lämna eller sprida integritetskänsliga uppgifter. I vissa fall kan dock spridning av nedsättande uppgifter eller integritetskänsliga bilder däremot straffas som förtal. Enligt 5 kap. 1 § döms den för förtal som pekar ut en annan person som brottslig eller klandervärd i sitt levnadssätt eller som på något annat sätt lämnar en uppgift som är ägnad att utsätta denne för andras missaktning. Brottet består alltså i att en person till en annan person lämnar en nedsättande uppgift om en tredje person. En uppgift kan lämnas genom tal och skrift men även genom t.ex. en bild.31 Från straffansvaret undantas fall när den som lämnat uppgiften varit skyldig att uttala sig eller om det annars med hänsyn till omständigheterna varit försvarligt att lämna upp giften. I båda fallen måste den som lämnat uppgiften visa att upp 30 NJA II 1962 s. 134. 31 I NJA 1992 s. 594 hade den tilltalade utan målsägandens vetskap videofilmat ett samlag mellan dem och därefter visat filmen för flera personer. Visandet av filmen bedömdes som grovt förtal. Det grundläggande rättsliga skyddet giften varit sann eller att uppgiftslämnaren hade skälig grund för den. Straffet för förtal är böter. För grovt förtal döms till böter eller fäng- else i högst . För förolämpning döms den som ”smädar annan genom kränkande tillmäle eller beskyllning eller genom annat skymfligt beteende mot honom” till böter, eller om brottet är grovt till böter eller fängelse . Bestämmelsen tar sikte på kränkningar av någons ära som riktar sig direkt till den som berörs. Även andra brott kan begås med användning av informations teknik, exempelvis sexuellt ofredande, olaga förföljelse, övergrepp i rättssak, brott mot tystnadsplikt, överträdelse av kontaktförbud, barn- pornografibrott och olaga våldskildring. Därutöver har den som tillhandahåller en tjänst för elektronisk förmedling av meddelanden ett ansvar för att ta bort meddelanden från tjänsten, eller på annat sätt förhindra vidare spridning av med- delanden som bl.a. uppenbart utgör hets mot folkgrupp eller barn- pornografibrott (5 § lagen [1998:112] om ansvar för elektroniska anslagstavlor). Den som uppsåtligen eller av grov oaktsamhet bryter mot nämnda skyldighet döms enligt 7 § till böter eller fängelse eller, om brottet är grovt, till fängelse i högst . I ringa fall döms dock inte till ansvar. När det gäller medier som omfattas av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen gäller dock vissa begränsningar av straffansvaret, se 7 och 8 kap. tryckfrihetsförordningen respektive 5 och 6 kap. yttrandefrihetsgrundlagen. Slutligen bör nämnas att Utredningen om ett modernt och starkt straffrättsligt skydd för den personliga integriteten32 har haft i uppdrag att se över det straffrättsliga skyddet för enskildas personliga integritet, särskilt när det gäller hot och andra kränkningar. Utöver befintliga regler om olaga hot, ofredande, förtal och förolämpning har utred- ningen ta ställning till om det straffrättsliga skyddet bör kompletteras när det gäller spridning av integritetskränkande uppgifter utanför det grundlagsskyddade området (dvs. sådant som inte regleras i tryckfrihetsförordningen och yttrandefrihetsgrundlagen). Utred- ningen har vidare övervägt om det bör införas ett straffansvar för den som tillhandahåller en elektronisk anslagstavla och som inte tar bort 32 Ju 2014:10, dir. 2014:74. Det grundläggande rättsliga skyddet eller på annat sätt förhindrar spridning av meddelanden som kränker enskildas personliga integritet. Utredningens förslag presenterades i februari 2016.33 Mer om utredningens förslag redovisas i avsnitt 23.1. Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada eller kränkning av den personliga integriteten för den registrerade har han eller hon, enligt 48 § personuppgiftslagen, rätt till skadestånd från den personuppgiftsansvarige. Skadeståndsansvaret åligger som huvudregel just den personuppgiftsansvariga och inte t.ex. den anställda som vidtagit en viss åtgärd, eventuella person uppgiftsbiträden eller personuppgiftsombud. Skadeståndsansvaret är i princip strikt, vilket innebär att det inte krävs att den person uppgiftsansvarige eller någon annan har haft uppsåt att handla i strid med lagen eller varit oaktsam. Den registrerade behöver bara visa att det förekommit en felaktig behandling och att denna skadat eller kränkt honom eller henne. Omständigheter som kan ha betydelse vid bedömningen av om det har förekommit en kränkning är bl.a. vilka personuppgifter som behandlas, graden av känslighet hos uppgifterna, i vilket sammanhang uppgifterna förekommer, för vilket syfte upp- gifterna behandlas, vilken spridning uppgifterna har fått eller riskerat att få samt vad behandlingen kan leda till. Ersättningen kan i den utsträckning det är skäligt sättas ned, helt eller delvis, om den personuppgiftsansvarige visar att felet inte be- rodde på honom eller henne. Det kan t.ex. handla om att det är den registrerade som har t.ex. lämnat felaktiga eller ofullständiga person- uppgifter vilket lett till den olagliga behandlingen. Det finns även möjlighet att erhålla skadestånd för kränkning vid brottslig gärning, enligt den allmänna regleringen i 2 kap. 3 § skade- ståndslagen (1972:207). För att sådant skadeståndsansvar ska komma i fråga krävs att kränkning varit allvarlig. Vidare gäller ansvaret endast vid vissa typer av brott, nämligen angrepp på annans person, mot annans frihet samt mot annans frid eller ära. De två sistnämnda kate- gorierna är av störst intresse här. Brott mot annans frid avser den enskildes rätt att vara i fred och hålla sitt privatliv okänt för andra. 33 Utredningens om ett modernt och starkt straffrättsligt skydd för den personliga integri teten betänkande Integritet och straffskydd, SOU 2016:7. Det grundläggande rättsliga skyddet Som exempel kan nämnas olaga hot, ofredande, brytande av post- och telehemlighet samt olovlig avlyssning. Angrepp mot annans ära avser i första hand ärekränkningsbrott, t.ex. förtal. Om den personliga integriteten har kränkts på ett sätt som strider mot Regeringsformen eller kan det även finnas en rätt till skadestånd som grundas direkt på dessa regelverk.34 När det gäller medier som omfattas av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen gäller dock vissa begränsningar i skadeståndsansvaret, se 11 kap. tryckfrihetsförordningen respektive 8 kap. yttrandefrihetsgrundlagen. 34 NJA 2005 s. 462 och NJA 2014 s. 323. Riskbedömning av olika områden och företeelser Kommitténs bedömning: De olika företeelser som vi har kart- lagt inom skolans område är förknippade med risker av olika allvarlighetsgrad; såväl vissa risker, påtagliga risker och allvarliga risker kan konstateras. Läs mer om hur vi bedömt riskerna av seende de olika företeelserna i avsnitt 7.7. Det här kapitlet är inriktat på skolan. Det berör endast i mycket liten utsträckning förhållandena vid universitet och högskolor. Skolan är snabbt på väg att digitaliseras, i den meningen att allt fler IKT-verktyg1 börjar användas av allt fler elever och lärare. Det rör sig om en uppsjö av sinsemellan helt olika verktyg som digitala lärplattformar, digitala läromedel, sociala medier osv. Verktygen används för praktiska och pedagogiska ändamål och syftar till att förbättra undervisningen och underlätta lärandet, både för den enskilde eleven och för elevkollektivet. Men en ökad använd- ning av digitala verktyg innebär också att fler uppgifter om eleverna hanteras av skolorna och tjänsteleverantörerna. Digitaliseringen av skolan kan mätas på olika sätt – ett vanligt förekommande mått är antalet datorer i skolan och hur dessa används 1 IKT står för informations- och kommunikationsteknik. senaste uppföljning av it-användning och it-kompe- tens visar att det skett en stor ökning av antalet datorer i såväl förskola, grundskola som gymnasieskola.2 Antalet skolor som använder sig av internetbaserade lärplattformar för samarbetet mellan elever och lärare har också ökat. använ- des sådana av av de kommunala grundskolorna (av de fristående grundskolorna) och av av de kommunala gymnasieskolorna (av de fristående gymnasieskolorna). Många skolor, sju av tio grundskolor och åtta av tio gymnasie skolor, använder s.k. molntjänster som t.ex. Google apps, Office 365 och iCloud.