sou · H5B355 · 2017-06-16 00:00:00 — Det torde ofta vara den sistnämnda grunden som blir aktuell för privaträttsliga subjekts kameraanvändning. Huruvida kameraanvänd- ning i ett visst enskilt fall är laglig eller inte beror alltså på vilket intresset av att använda kameran är, om detta kan anses vara berättigat och i så fall väger över det motstående intresset av inte- gritetsskydd samt om det är nödvändigt med kameraanvändning. Enligt förordningen måste en rättslig förpliktelse, myndighets- utövning eller uppgift av allmänt intresse vara fastställd i enlighet med nationell rätt eller unionsrätten för att kunna utgöra rättslig grund för behandling av personuppgifter. I dataskyddslagen förtyd- ligas detta. En rättslig förpliktelse är enligt svensk rätt fastställd, om den gäller enligt lag eller annan författning eller följer av kollektiv- avtal eller av beslut som har meddelats med stöd av lag eller annan författning. Myndighetsutövning fastställs i svensk rätt genom lag eller annan författning. Uppgifter av allmänt intresse är fastställda i enlighet med svensk rätt, om de följer av lag eller annan författning eller av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Vidare innehåller förordningen vissa principer. Personuppgifter ska samlas in för särskilda och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Upp- gifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för dem. Uppgifterna ska behandlas på ett lagligt och korrekt sätt och vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Dessutom gäller bl.a. att personuppgifter inte får för- varas i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för ändamålen med be- handlingen. Vad gäller utan särskilda bestämmelser om kameraanvändning? Enskildas rättigheter och personuppgiftsansvarigas skyldigheter Förordningen innehåller ett antal rättigheter för dem som blir före- mål för personuppgiftsbehandling, inklusive kameraanvändning. Det gäller exempelvis en rätt att få information om behandlingen, rätt att få tillgång till material och rätt att få material raderat. Det finns också bestämmelser om skyldigheter för personupp- giftsansvariga, även för dem som vill använda kameror, t.ex. vad gäller säkerhet vid användningen och för materialet samt överföring av material till tredjeland eller till internationella organisationer. Det finns vidare en skyldighet att i vissa fall göra en konsekvens- bedömning och eventuellt samråda med tillsynsmyndigheten. Om en typ av kameraanvändning – särskilt med ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål – sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, ska den ansvarige före användningen utföra en bedömning av konsekvenserna för skyddet av personuppgifter. En konsekvens- bedömning ska göras bl.a. när det är fråga om systematisk över- vakning av en allmän plats i stor skala. ska upprätta en förteckning över i vilka fall konsekvensbedömning ska göras. När en konsekvensbedömning visar att kameraanvändningen skulle leda till en hög risk för fysiska personers rättigheter och friheter, om inte åtgärder vidtas för att minska risken, ska den ansvarige samråda med tillsynsmyndigheten före användningen. Om tillsyns- myndigheten anser att kameraanvändningen skulle strida mot för- ordningen, ska myndigheten ge den ansvarige skriftliga råd. Vidare får myndigheten använda sig av befogenheter som den har enligt förordningen. Exempelvis kan tillsynsmyndigheten utfärda varning eller tillfälligt eller definitivt begränsa, inklusive förbjuda, använd- ningen. Rättsmedel, skadestånd, tillsyn och sanktioner I förordningen och dataskyddslagen finns dessutom bestämmelser om rättsmedel, skadestånd, tillsyn och sanktioner. Beslut som en myndighet fattar med anledning av att den en- skilde utövar sina rättigheter enligt förordningen ska kunna över- klagas till allmän förvaltningsdomstol. Det kan t.ex. röra sig om Vad gäller utan särskilda bestämmelser om kameraanvändning? avslagsbeslut på en begäran om att få tillgång till sina person- uppgifter, att uppgifter ska rättas eller raderas eller att en behand- ling ska begränsas eller upphöra. Den som har lidit en materiell eller immateriell skada till följd av en överträdelse av förordningen ska, under vissa förutsättningar, ha rätt till ersättning av den som ansvarar för kameraanvändningen eller av den som biträder den ansvarige. I dataskyddslagen förtyd- ligas att denna rätt även gäller vid överträdelser av den lagen och andra författningar som kompletterar förordningen. tillsynsbefogenheter anges i förordningen. Dessa ska enligt dataskyddslagen gälla även vid tillsynen över att den lagen och annan kompletterande lagstiftning till förordningen följs. Vid överträdelser av förordningens bestämmelser ska tillsyns- myndigheten kunna besluta om sanktionsavgifter. Detsamma gäller vid underlåtenhet att rätta sig efter tillsynsmyndighetens instruk- tioner, förelägganden eller beslut. Av förordningen följer direkt att sanktionsavgifter kan påföras privaträttsliga subjekt. Enligt data- skyddslagen ska sanktionsavgifter även kunna åläggas statliga och kommunala myndigheter. För något mindre allvarliga överträdelser av förordningen, så- som överträdelse av kravet på konsekvensbedömning, är maxbeloppet eller av den globala årsomsättningen när det gäller företag beroende på vilket belopp som är högst. För allvarligare överträdelser, t.ex. överträdelser av de grundläggande principerna för behandling, rätten till information eller rätten till rättelse eller radering och vid underlåtenhet att rätta sig efter tillsynsmyndighetens instruktioner, förelägganden eller beslut, är maxbeloppet eller av den globala års- omsättningen. Enligt dataskyddslagen ska sanktionsavgifter för myndigheter dock vara begränsade till högst eller högst beroende på vilken typ av över- trädelse det är fråga om. beslut enligt förordningen och dataskydds- lagen ska få överklagas till allmän förvaltningsdomstol. Vad gäller utan särskilda bestämmelser om kameraanvändning? 8.3Kameraanvändning som omfattas av direktivet och brottsdatalagen Brottsdatalagen ska tillämpas av myndigheter som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder vid deras behandling av personuppgifter. Lagen ska också gälla för person- uppgiftsbehandling vid upprätthållande av allmän ordning och säker- het. De som har sådana arbetsuppgifter betecknas behöriga myn- digheter. Lagen ska även tillämpas av andra aktörer som har fått i uppgift att utöva myndighet för något av de nämnda syftena. I övrigt kommer förordningen att vara tillämplig, t.ex. när Polis- myndigheten behandlar personuppgifter i tillståndsärenden eller när en allmän domstol handlägger tvistemål. Det som blir avgör- ande för om brottsdatalagen är tillämplig är dels om det är en be- hörig myndighet som behandlar personuppgifterna, dels syftet med behandlingen. Lagen ska i huvudsak gälla för sådan behandling av person- uppgifter som är helt eller delvis automatiserad. Lagen ska inte tillämpas på Säkerhetspolisens behandling av per- sonuppgifter som rör nationell säkerhet. Undantag ska också gälla för när myndigheten har övertagit en uppgift som rör nationell säkerhet från Säkerhetspolisen. Rättslig grund och principer för behandling av personuppgifter Det ska alltid finnas en rättslig grund för att personuppgifter ska få behandlas med stöd av brottsdatalagen. Den huvudsakliga grunden är att behandlingen av personuppgifterna ska vara nödvändig för att en behörig myndighet ska kunna utföra en sådan arbetsuppgift som gör lagen tillämplig. Arbetsuppgiften ska framgå av en bindande unionsrättsakt, en lag, en förordning eller ett särskilt beslut av reger- ingen. Vidare ska vissa principer gälla för behandlingen. Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Uppgifterna ska behandlas författningsenligt och på ett korrekt sätt. De personuppgifter som behandlas ska vara korrekta Vad gäller utan särskilda bestämmelser om kameraanvändning? och, om det är nödvändigt, uppdaterade. De ska också vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler uppgifter än nödvändigt får inte behandlas och uppgifter får inte behandlas längre än vad som är nödvändigt med hänsyn till ända- målen med behandlingen. Enskildas rättigheter och personuppgiftsansvarigas skyldigheter När det gäller enskildas rättigheter kommer till stora delar samma reglering som att gälla men rätten till information blir tydligare i vissa avseenden. Utgångspunkten är att den som vill kontrollera om hans eller hennes personuppgifter behandlas får vända sig till den personuppgiftsansvarige, som utan onödigt dröjsmål ska lämna skriftligt besked om uppgifterna behandlas. Om så är fallet har den registrerade rätt att få del av uppgifterna och få viss information om behandlingen. Informationsskyldigheten gäller dock inte, om uppgifterna inte får lämnas ut på grund av att vissa i lagen angivna intressen kan skadas. Den personuppgiftsansvarige ska på begäran av den registrerade utan onödigt dröjsmål rätta eller komplettera personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med be- handlingen. En motsvarande skyldighet gäller bl.a. i fråga om radering av personuppgifter som behandlas på ett otillåtet sätt. I vissa fall ska behandlingen av personuppgifterna i stället begränsas. De skyldigheter som personuppgiftsansvariga har kommer till stor del att gälla även i fortsättningen. Vissa regler blir dock mer preciserade och det tillkommer också vissa nya skyldigheter. Kraven på säkerhets- och skyddsåtgärder blir mer preciserade liksom kravet på att det ska finnas en behandlingshistorik. Det ställs exempelvis krav på inbyggt dataskydd och dataskydd som standard. Det införs också en generell bestämmelse om att tillgången till personupp- gifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Det införs t.ex. ett generellt krav på att personuppgiftsansvariga som planerar en ny typ av behandling eller betydande förändringar i pågående behandling ska göra en bedömning av konsekvenserna för registrerades personliga integritet och, beroende på framför allt SOU 2017:55 Vad gäller utan särskilda bestämmelser om kameraanvändning? risken för intrång, samråda med tillsynsmyndigheten innan be- handlingen påbörjas eller förändras. Rättsmedel, skadestånd, tillsyn och sanktioner huvuduppgifter och befogenheter regleras i brottsdatalagen. ska kunna besluta om att ta ut sanktions- avgift av personuppgiftsansvariga och i vissa fall av personuppgifts- biträden. Sanktionsavgift får tas ut av personuppgiftsansvariga vid överträdelse av de grundläggande bestämmelserna om skydd för enskildas integritet. Det gäller bl.a. om personuppgifter behandlas utan rättslig grund eller utan ett särskilt angivet och berättigat ändamål, om personuppgifterna inte uppfyller kraven på att vara korrekta, aktuella, adekvata och relevanta eller om fler uppgifter än nödvändigt behandlas eller om de behandlas längre än vad som är nödvändigt med hänsyn till ändamålen. Det gäller också t.ex. om den personuppgiftsansvarige inte vidtar tillräckliga säkerhets- och skyddsåtgärder. Sanktionsavgift får även tas ut om den personupp- giftsansvarige inte bistår tillsynsmyndigheten vid tillsyn eller inte rättar sig efter tillsynsmyndighetens förelägganden eller beslut. Sanktionsavgiften ska bestämmas till lägst och högst för mindre allvarliga överträdelser och det dubbla vid andra överträdelser. Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning som behandling av personuppgifter i strid med brottsdatalagen med tillhörande förordning har orsakat. Vissa beslut som en myndighet har fattat i egenskap av person- uppgiftsansvarig ska kunna överklagas. Det gäller bl.a. beslut i fråga om rättelse, komplettering, radering eller begränsning av behand- lingen och beslut att inte lämna ut information på begäran av en registrerad. beslut enligt lagen får också över- klagas. 9 En ny kamerabevakningslag Förslag: Kameraövervakningslagen (2013:460) ska ersättas av en ny lag. Den nya lagen ska heta kamerabevakningslagen. Av avsnitt 7 har framgått att det inom EU har antagits en ny data- skyddsförordning och ett nytt dataskyddsdirektiv om behandling av personuppgifter och att dessa instrument får stor betydelse för svensk lagstiftning om kameraövervakning, eftersom kameraöver- vakning ofta utgör personuppgiftsbehandling som omfattas av den nya EU-regleringen. Förordningen gäller för ett stort antal myndig- heter och andra rättssubjekt medan direktivet endast gäller för särskilda myndigheter och andra aktörer när de utför vissa uppgifter. För några verksamheter gäller varken förordningen eller direktivet. Som vidare framgått kommer förordningen att gälla direkt i , vilket innebär att bestämmelser om kameraövervakning som upp- repar eller avviker från innehållet i förordningen inte kan behållas i svensk lagstiftning som kompletterar förordningen annat än om förordningen lämnar utrymme för det. Enligt den analys som gjorts i avsnitt 7 kan många av kameraövervakningslagens bestämmelser inte behållas alls eller inte behållas i sin nuvarande form när det gäller sådan kameraövervakning som omfattas av förordningens tillämp- ningsområde. Vad gäller direktivet har framgått att detta ska genomföras i svensk rätt och att svenska bestämmelser som omfattar kameraövervak- ning som faller in under direktivets tillämpningsområde måste upp- fylla direktivets krav. Direktivets krav uppfylls dock endast delvis av kameraövervakningslagens bestämmelser. En svensk lagstiftning som omfattar kameraövervakning måste fullt ut uppfylla de krav som följer av direktivet. Slutligen har framgått att kameraövervakning som inte omfattas av förordningens och direktivets tillämpningsområden i och för sig kan regleras i svensk rätt utan beaktande av EU-regleringen. Som utvecklas nedan bör dock bestämmelser om sådan kameraövervak- ning inte avvika från övrig lagstiftning om kameraövervakning. Utöver den påverkan på svensk kameraövervakningslagstiftning som EU-regleringen innebär har den kartläggning och utvärdering av kameraövervakningslagen som gjorts och som redovisats i av- snitt 5 visat att det finns vissa tillämpningsproblem med lagen. Detta innebär att det krävs en stor reform av den svenska lag- stiftningen på området för kameraövervakning. Reformen blir så omfattande att det inte är lämpligt att genomföra den genom att behålla kameraövervakningslagen och göra ändringar i den lagen. Att behålla kameraövervakningslagen skulle inte heller på samma sätt som en ny lagstiftning tydliggöra att bestämmelserna i stora delar har sin bakgrund i den nya EU-regleringen. Kameraövervak- ningslagen bör därför inte behållas. Kameraövervakningslagen bör alltså inte behållas. Ett alternativ är att inte införa någon ny särskild lag eller några nya särskilda be- stämmelser på kameraövervakningsområdet överhuvudtaget. I stället skulle, som översiktligt beskrivits i avsnitt 8, kameraövervakning uteslutande kunna regleras av bestämmelserna i förordningen och den av föreslagna kompletterande lagen till förordningen, dataskyddslagen, med förordning respektive av den av Utredningen om 2016 års dataskyddsdirektiv föreslagna brotts- datalagen med tillhörande förordning som genomför direktivet. Dessa nya svenska lagar innehåller generella bestämmelser om behandling av personuppgifter och ska gälla i den utsträckning det saknas sär- skild lagstiftning om sådan behandling på ett visst område. Lagarna skulle kunna gälla som enda reglering för kameraövervakning som Därutöver finns det s.k. register- författningar som specifikt reglerar personuppgiftsbehandling inom olika sektorer och som kommer att anpassas till den nya EU- regleringen. Det andra alternativet är att införa nya särskilda bestämmelser om kameraövervakning. Redan vid en övergripande analys kan det konstateras att det behövs åtminstone vissa sådana bestämmelser vad gäller både kameraövervakning på förordningens och direk- tivets tillämpningsområden och kameraövervakning på det område som faller utanför EU-regleringen. Exempelvis kräver de speciella förhållanden som råder vid kameraövervakning en särskild reg- lering om hur det ska upplysas om kameraövervakning som skiljer sig från den informationsskyldighet som annars ska gälla vid per- sonuppgiftsbehandling enligt EU-regleringen. I denna utrednings uppdrag har inte heller ingått att avskaffa eller genomgripande förändra en särskild svensk lagstiftning på kameraövervaknings- området eller att frångå de principer på vilka lagstiftningen vilar. Av dessa skäl bör det införas särskilda bestämmelser om kamera- övervakning. Dessa bestämmelser bör samlas i en ny för all kameraövervak- ning gemensam lag och inte tas in i två eller tre nya lagar där t.ex. en avser kameraövervakning på förordningens område och den andra eller de två andra avser övervakning på direktivets område respek- tive på det område som faller utanför EU-regleringen. Inte heller bör bestämmelserna tas in i dataskyddslagen eller brottsdatalagen eller i olika registerförfattningar. Att i stället samla de särskilda bestämmelserna om kameraövervakning i en enda ny lag innebär att lagstiftningen på området kan bli något enklare att tillämpa, även om många av förordningens bestämmelser kommer att gälla direkt och lagen kan komma att hänvisa till de nya generella lagarna. Det förhållandet att bestämmelserna delvis kommer att grunda sig på skilda typer av EU-rättsliga instrument och delvis kommer att avse även kameraövervakning som inte direkt omfattas av EU-regleringen kan inte anses hindra att de tas in i en gemensam lag. Följaktligen föreslås att kameraövervakningslagen ska ersättas av en ny lag. Lagen ska heta kamerabevakningslagen En ny lag som ska ersätta kameraövervakningslagen bör av flera skäl ges ett annat namn än den lag som den ersätter. Ett skäl är att det tydliggörs att det är fråga om en helt ny lag. Det gäller särskilt som bakgrunden till lagen är en annan än tidi- gare, nämligen att den i delar kompletterar den nya förordningen eller med stöd i förordningen avviker från denna samt genomför det nya direktivet. Ett annat skäl är att det språkligt kan diskuteras om ordet över- vakning är helt rättvisande för att beskriva den användning av kameror som ska omfattas av den nya lagen enligt vad som föreslås nedan. Sådan kameraanvändning ska endast få ske för berättigade ändamål. Dessa kan vara av olika slag, varav flera syftar till att generellt skydda människors liv och hälsa mot exempelvis brott och olyckor. Kameraanvändning kan vidare skapa trygghet för det stora flertalet av de människor som kommer att träffas av använd- ningen. Ordet övervakning kan dessutom föra tankarna till en kontroll där enskildas intresse av att inte bli föremål för fotografering eller filmning inte har beaktats i tillräcklig utsträckning. Ordet bevak- ning beskriver bättre den kameraanvändning som ska omfattas av lagen. Att det ordet används även i annan lagstiftning med en något annan innebörd hindrar inte att det används i den nya lagen och medför inte heller någon svårighet att förstå ordets innebörd enligt denna lag. Mot denna bakgrund föreslås att den nya lagen ska heta kamera- bevakningslagen. 9.2Utgångspunkter för den nya lagen Bedömning: Kamerabevakningslagens bestämmelser ska vara för- enliga med bestämmelserna i förordningen och direktivet och bör även i delar där de i och för sig kan utformas annorlunda anpassas till EU-regleringen. Lagen bör endast innehålla de be- stämmelser som särskilt behövs för kamerabevakning till skillnad mot annan personuppgiftsbehandling. Bestämmelserna bör, så långt det är förenligt med EU-regleringen och ändamålsenligt, vara desamma för all kamerabevakning. Lagen ska vara förenlig med och bör även i övrigt anpassas till förordningen och direktivet En självklarhet är att bestämmelserna i den nya kamerabevaknings- lagen ska vara förenliga med bestämmelserna i förordningen och direktivet. Att kamerabevakning ofta innebär behandling av personuppgifter som omfattas av förordningen eller träffas av direktivet talar vidare för utgångspunkten att lagens bestämmelser även i delar där de i och för sig kan utformas annorlunda anpassas till EU-regleringen, dvs. – i den utsträckning det är möjligt – anpassas till vad som annars gäller för behandling av personuppgifter enligt den regleringen. För det talar också att lagen ska betraktas som en dataskyddsreglering och inte någon annan typ av reglering. Redan dagens kameraöver- vakningslag innehåller ett flertal bestämmelser som utgör renodlade regler om personuppgiftsbehandling. När nu EU:s medlemsstater har enats om ett nytt vidsträckt och detaljerat gemensamt regelverk på dataskyddsområdet finns det anledning att ytterligare närma sig detta på kamerabevakningsområdet. I diskussionen om kamerabevak- ning har det vidare skett en viss förskjutning från att kameror an- vänds till hur material från sådan bevakning behandlas, vilket mer lik- nar hur diskussionen om personuppgiftsbehandling i allmänhet förs. Lagen bör endast innehålla de bestämmelser som särskilt behövs för kamerabevakning Den utgångspunkt som slagits fast ovan innebär inte att kamera- bevakningslagen uttömmande eller utförligt måste eller bör reglera allt som ska gälla för sådan kameraanvändning som ska omfattas av lagen. Tvärtom innebär en anpassning till övrig reglering om behand- ling av personuppgifter att många av bestämmelserna i den regleringen kan gälla även för kamerabevakning förutsatt att de är lämpliga också för denna form av personuppgiftsbehandling. Övergripande sett framstår de bestämmelser som ska gälla enligt dataskyddslagen, som kompletterar förordningen, och enligt brotts- datalagen, som genomför direktivet, som ändamålsenliga även på kamerabevakningsområdet. Detsamma kan generellt sett antas i fråga om registerförfattningar som reglerar behandling av personuppgifter inom särskilda sektorer och som vid behov kommer att ändras till följd av EU-regleringen. Sådana bestämmelser behöver därför inte nödvändigtvis upprepas i kamerabevakningslagen. Vidare skulle lagen bli mycket omfattande, om den utförligt skulle ange vad som gäller på området för kamerabevakning. Visserligen skulle en sådan lag samla bestämmelserna och därigenom göra det överskådligt vad som gäller. Detta skulle dock ändå inte gälla fullt ut, eftersom förordningen kommer att vara direkt tillämplig i och behöva tillämpas för sig. Dessutom skulle överskådligheten begränsas av det stora antal bestämmelser som skulle krävas i lagen. Det skulle behövas en viss uppsättning bestämmelser som avser kamerabevakning som omfattas av förordningen. Dessa skulle i prin- cip upprepa bestämmelserna i dataskyddslagen men däremot inte kunna upprepa många av förordningens bestämmelser, som ska gälla direkt. Vad gäller kamerabevakning som faller in under direktivets tillämpningsområde skulle det krävas en annan, utförlig uppsättning bestämmelser som fullständigt genomför hela direktivet, som bl.a. inne- håller bestämmelser om skyldigheter för personuppgiftsansvariga, om rättigheter för enskilda samt om tillsyn, rättsmedel och sanktioner. Vad slutligen gäller kamerabevakning som varken omfattas av förord- ningen eller direktivet skulle det också behövas någon form av reg- lering. Att bestämmelser om kamerabevakning finns på olika håll gör det givetvis svårare att få en överblick över vad som gäller på om- rådet och därmed svårare att tillämpa bestämmelserna både för en- skilda och myndigheter. En sådan lagstiftningsteknik kommer dock att gälla generellt på dataskyddsområdet. På förordningens område ska gälla förordningen, dataskyddslagen med förordning och olika registerförfattningar.