sou · H5B355 · 2017-06-16 00:00:00 — Det föreslås därför att Datainspektion ska vara tillsynsmyndig- het enligt kamerabevakningslagen och att detta ska regleras genom en bestämmelse i lagen om att den myndighet som regeringen bestämmer utövar tillsyn över kamerabevakning. Det kan diskuteras om länsstyrelserna fortsatt bör ha någon form av roll i frågor om tillstånd till kamerabevakning eller om undantag från upplysningskravet. Exempelvis skulle yttrande kunna inhämtas från berörd länsstyrelse i ett ärende om tillstånd. En sådan remiss- ordning torde dock vara ovanlig i dylika tillståndsärenden enligt annan lagstiftning. Vidare skulle ordningen kräva just den kompe- tens och de resurser m.m. som ovan har motiverat att tillsynen flyttas från länsstyrelserna till Datainspektionen. Lokalkännedom i sådana ärenden kan i stället vid behov säkerställas genom att, som föreslagits i tidigare avsnitt, den kommun där kamerabevakningen ska ske ges tillfälle att yttra sig. Det kan också övervägas om läns- styrelserna bör kunna bistå Datainspektionen med mer praktiskt inriktad hjälp på de olika platser runtom i landet där kamerabevak- ning ska ske. En liknande ordning finns exempelvis i lagen (1974:191) om bevakningsföretag där det föreskrivs att andra myndigheter på begäran ska lämna den hjälp som behövs för tillsynen. En sådan ordning ska dock inte gälla för tillsynen över person- uppgiftsbehandling enligt förordningen och dataskyddslagen eller enligt brottsdatalagen och bör därför inte heller gälla på kamera- bevakningsområdet. Tillsyn, sanktioner och rättsmedel 15.2Tillsynsmyndighetens befogenheter, sanktioner, rättsmedel och skadestånd Förslag: I ett ärende enligt kamerabevakningslagen hos tillsyns- myndigheten, vid underlåtenhet att bistå den myndigheten i ett sådant ärende och vid överträdelse av bestämmelserna i lagen eller av beslut som meddelats med stöd av lagen ska tillämpas bestämmelser om undersökningsbefogenheter för tillsynsmyndig- heten, sanktionsavgifter och skadestånd i 1.dataskyddsförordningen, dataskyddslagen och föreskrifter som meddelats med stöd av den lagen när det gäller kamerabevak- ning som omfattas av förordningen eller den lagen, eller 2.brottsdatalagen och föreskrifter som meddelats med stöd av den lagen när det gäller kamerabevakning som omfattas av den lagen. Vid tillämpning av bestämmelser om sanktionsavgifter ska för myndigheter gälla den högre avgiftsnivå som föreskrivs i data- skyddslagen respektive brottsdatalagen. beslut enligt kamerabevakningslagen, t.ex. i frågor om tillstånd till kamerabevakning och undantag från kravet på upplysning om kamerabevakning samt sanktionsavgift, ska få överklagas till allmän förvaltningsdomstol. Beslut om till- stånd till kamerabevakning och om undantag från kravet på upp- lysning ska få överklagas även av den kommun där bevakningen ska ske. Som framgått av avsnitt 13 ska sådana beslut också, om kamerabevakningen ska avse en arbetsplats, få överklagas av en organisation som företräder arbetstagarna på arbetsplatsen. Pröv- ningstillstånd ska krävas vid överklagande till kammarrätten. Vid kamerabevakning ska i övrigt i de frågor som inte reg- leras direkt i kamerabevakningslagen utan i förordningen eller de generella författningarna bestämmelserna där om tillsyns- myndighetens befogenheter, sanktioner, överklagande m.m. gälla i tillämpliga delar. Tillsyn, sanktioner och rättsmedel Bedömning: Något straffansvar för den som bryter mot kamera- bevakningslagens bestämmelser eller beslut som meddelats med stöd av lagen bör inte kunna följa. Inte heller bör det finnas någon möjlighet för tillsynsmyndigheten att förena ett förelägg- ande med vite. Skälen för förslaget och bedömningen Utgångspunkter för befogenheter och sanktioner I dataskyddsförordningen finns bestämmelser om vilka uppgifter och befogenheter som tillsynsmyndigheten har. Myndigheten är behörig att utföra uppgifterna och utöva befogenheterna inom sin egen medlemsstats territorium. Vid gränsöverskridande personupp- giftsbehandling, då det finns flera behöriga tillsynsmyndigheter, är ansvarig myndighet tillsynsmyndigheten för den personuppgifts- ansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verk- samhetsställe. I förordningen finns vidare bestämmelser om sank- tioner vid överträdelser av förordningens bestämmelser. Även i dataskyddsdirektivet finns bestämmelser om tillsyn och sanktioner, som till stora delar har samma eller liknande innehåll som bestämmelserna i förordningen. Enligt kameraövervakningslagen har länsstyrelserna och Data- inspektionen vissa befogenheter, exempelvis en möjlighet att med- dela förelägganden och att förena dessa med vite samt en rätt att få tillträde till övervakningsanläggningar. Några bestämmelser om sam- arbete med andra länders tillsynsmyndigheter finns inte. I lagen finns bestämmelser om straffansvar för den som bryter mot t.ex. till- stånds- eller upplysningsplikten. Som framgått av avsnitt 7 överensstämmer bestämmelserna i ka- meraövervakningslagen endast delvis med förordningens och direk- tivets bestämmelser, som är mer omfattande än lagens. Flertalet av förordningens bestämmelser kommer att gälla direkt i och kräver inte några kompletterande svenska bestämmelser. Vidare får kamerabevakningslagen inte innehålla bestämmelser som enbart upp- repar eller avviker från innehållet i förordningen. I några avseenden tillåter dock förordningen kompletterande nationell reglering, t.ex. i fråga om befogenheter för tillsynsmyndigheten. På direktivets om- råde krävs svenska bestämmelser om tillsyn och sanktioner som Tillsyn, sanktioner och rättsmedel uppfyller direktivets krav. Direktivet tillåter vidare att det i natio- nell rätt föreskrivs starkare skyddsåtgärder än de som fastställs i direk- tivet. Som utgångspunkter för de analyser som görs nedan gäller att kamerabevakningslagens bestämmelser ska vara förenliga med bestäm- melserna i förordningen och direktivet och även i övrigt bör an- passas till den regleringen. Vidare bör lagen endast innehålla de bestämmelser som särskilt behövs och dessa bör – så långt det är förenligt med EU-regleringen och ändamålsenligt – vara desamma för all kamerabevakning. Som en ytterligare utgångspunkt ska gälla att det inte bör införas bestämmelser som avviker från förslag som lagts av andra utredningar i samma eller närliggande frågor. I av- snitt 10.1 har föreslagits att kamerabevakningslagen ska innehålla en generell bestämmelse som reglerar förhållandet till andra bestäm- melser om behandling av personuppgifter. befogenheter och sanktioner vid personuppgiftsbehandling i allmänhet – Datainspektionens – uppgifter och befogen- heter vid personuppgiftsbehandling i allmänhet samt möjlighet att tillgripa sanktioner kommer att följa direkt av förordningen för personuppgiftsbehandling på det område som omfattas av förord- ningen. ska ha vissa utredningsbefogenheter, t.ex. en befogenhet att från den personuppgiftsansvarige eller person- uppgiftsbiträdet få tillgång till alla personuppgifter och all informa- tion som myndigheten behöver för att kunna fullgöra sina upp- gifter och rätt att få tillträde till lokaler som tillhör en personupp- giftsansvarig eller ett personuppgiftsbiträde, inklusive tillgång till utrustning och andra medel för personuppgiftsbehandling. Tillsyns- myndigheten ska vidare ha vissa korrigerande befogenheter. Exem- pelvis ska myndigheten kunna utfärda varning, utfärda föreläggan- den som knyter an till bestämmelser i förordningen och tillfälligt eller definitivt kunna begränsa, inklusive förbjuda, en behandling av personuppgifter. ska även samarbeta med och assistera tillsynsmyndigheterna i de andra medlemsstaterna. Vidare ska tillsynsmyndigheten vid överträdelser av förordningens bestämmelser besluta om administrativa sanktionsavgifter mot privat- Tillsyn, sanktioner och rättsmedel Detsamma gäller vid underlåtenhet att rätta sig efter tillsynsmyndighetens instruktioner, förelägganden eller beslut. Vid beslut om sanktionsavgift och dess storlek ska bl.a. beaktas överträdelsens karaktär, svårighetsgrad och varaktighet samt om överträdelsen skett med uppsåt eller av oaktsamhet, även om det inte krävs att överträdelsen har skett uppsåtligen eller av oaktsamhet. Andra faktorer som ska beaktas är antalet berörda, vilken skada de har lidit, om den ansvarige har försökt förebygga eller i efterhand komma till rätta med överträdelsen och eventuell ekonomisk vinst som görs eller ekonomisk förlust som undviks genom överträdelsen. När en sanktionsavgift fastställs mot en fysisk person torde den allmänna inkomstnivån i medlemsstaten och personens ekonomiska situation kunna beaktas. Om en sådan avgift skulle innebära en oproportionell börda för en fysisk person, får en reprimand utfär- das i stället. För något mindre allvarliga överträdelser, såsom över- trädelse av kravet på konsekvensbedömning, är maxbeloppet tio mil- joner euro eller av den globala årsomsättningen när det gäller företag beroende på vilket belopp som är högst. För allvar- ligare överträdelser, t.ex. överträdelse av de grundläggande principerna för behandling, överträdelse av rätten till information, rättelse eller radering eller underlåtenhet att rätta sig efter tillsynsmyndighetens instruktioner, förelägganden eller beslut, är maxbeloppet 20 miljo- ner euro eller av den globala årsomsättningen. Utredningen om tillsynen över den personliga integriteten har ansett att det saknas behov av att föreskriva ytterligare befogen- heter för tillsynsmyndigheten utöver vad som följer av förordningen, en bedömning som och Utredningen om 2016 års dataskyddsdirektiv inte har ifrågasatt. har däremot föreslagit att det i data- skyddslagen föreskrivs att tillsynsmyndighetens befogenheter enligt förordningen även ska gälla vid myndighetens tillsyn över bestäm- melser i den lagen och i andra författningar som kompletterar förordningen. Några bestämmelser som ger myndigheten möjlighet att tillgripa tvångsåtgärder, t.ex. med polishjälp, för att få tillträde till lokaler har inte ansetts behövas och inte heller ansetts lämpliga. Vidare har utredningen föreslagit att sanktionsavgifter enligt för- ordningen även ska få riktas mot statliga och kommunala myndig- heter. Som skäl för det har anförts bl.a. att dataskyddsregleringen syftar till att skydda enskildas integritet och att detta intresse väger Tillsyn, sanktioner och rättsmedel lika tungt när personuppgifter behandlas i det allmännas verksam- het, att själva personuppgiftsbehandlingen sker på i stort sett samma villkor och enligt samma regelverk som i privat sektor samt att behovet av avskräckande sanktioner inte torde vara mindre när det gäller myndigheters behandling. Utredningen har föreslagit att sanktionsavgiften för myndig- heter ska kunna uppgå till högst för mindre allvarliga överträdelser och högst för allvarliga överträdelser. När det gäller avgifternas storlek har utredningen uttalat att det inte finns något utrymme att i svensk författning bestämma fasta belopp för vissa överträdelser men att förordningens möjlighet för en medlemsstat att bestämma i vilken utsträckning myndigheter ska kunna påföras avgifter innebär att medlemsstat- erna har utrymme att bestämma ett tak för de belopp som kan påföras myndigheter. Utredningen har ansett att sanktionsavgifter som påförs myndigheter beloppsmässigt bör ligga i paritet med andra sanktionsavgifter i svensk rätt och även anfört bl.a. att skillnader mellan sanktionsavgifternas storlek utanför respektive innanför myn- dighetssfären kan motiveras av att personuppgiftsansvariga i den privata sektorn kan vara multinationella företag där det krävs synner- ligen höga sanktionsbelopp för att de ska vara kännbara medan för myndigheter även en något lägre avgift kan förväntas påverka age- randet i önskad riktning. Utredningen har också föreslagit bestäm- melser om förfarandet vid beslut om sanktionsavgifter och om verk- ställighet av avgifterna. har vidare gjort bedömningen att något straff inte ska kunna ådömas den som bryter mot förordningen. Utredningen har redogjort för de kriterier som måste vara uppfyllda för att en kriminalisering ska vara godtagbar (se bl.a. SOU 2013:38) och ansett att eftersom ansvaret för överträdelser av förordningen i huvudsak kommer att läggas på personuppgiftsansvariga och person- uppgiftsbiträden – vilka i flertalet fall är juridiska personer –, bör de mycket kännbara avgifter som kan påföras enligt förordningen vara väsentligt mer effektiva i den meningen att de har en mer avhåll- ande effekt än straffrättsliga sanktioner. Utredningen har vidare an- sett att det från resurssynpunkt är mer effektivt att låta tillsyns- myndigheten sanktionera överträdelser, eftersom sådana sannolikt i stor utsträckning kommer att upptäckas och utredas av den myn- digheten. Utredningen har även pekat på att ett straffansvar kan Tillsyn, sanktioner och rättsmedel aktualisera det s.k. dubbelbestraffningsförbudet, som finns både i den europeiska konventionen angående skydd för de mänskliga rättig- heterna och de grundläggande friheterna och i Europeiska unionens stadga om de grundläggande rättigheterna. Utredningen har därutöver ansett att tillsynsmyndigheten inte bör ha en möjlighet att förena sina förelägganden med vite. Som skäl har anförts att sanktionsavgifterna kan användas framåtsyft- ande, dvs. för att säkerställa ett agerande i enlighet med tillsyns- myndighetens pålagor, genom att det erinras om att sådana avgifter kan utgå om ett föreläggande eller beslut inte följs. Utredningen har också pekat på det skadeståndsansvar som kan följa enligt för- ordningen och även uttalat att ett vite kan aktualisera dubbel- bestraffningsförbudet. Utredningen har föreslagit att bestämmelserna i förordningen och dataskyddslagen och dess föreskrifter om uppgifter, befogen- heter och sanktioner ska tillämpas även vid personuppgiftsbehandling i verksamheter som inte omfattas av unionsrätten och i verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken. På direktivets område har Utredningen om 2016 års dataskydds- direktiv föreslagit bl.a. följande i brottsdatalagen och den tillhör- ande förordningen. ska utöva allmän tillsyn över personupp- giftsbehandling. På begäran ska myndigheten lämna bistånd till en tillsynsmyndighet i en annan medlemsstat. ska ha vissa undersökningsbefogenheter, nämligen rätt att få tillgång till personuppgifter som behandlas, upplysningar om och dokumen- tation av behandling av personuppgifter och säkerhetsåtgärder, tillträde till lokaler som den personuppgiftsansvarige eller person- uppgiftsbiträdet disponerar och tillgång till utrustning och andra medel för behandling av personuppgifter samt det biträde och annan information som behövs för tillsynen. Myndigheten ska inte ha rätt att med tvång skaffa sig tillträde till lokaler. Att göra lokaler till- gängliga ingår i den personuppgiftsansvariges samarbetsskyldighet i förhållande till tillsynsmyndigheten. ska vidare ha dels vissa förebyggande be- fogenheter, dels vissa korrigerande befogenheter. Om tillsynsmyndig- heten bedömer att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer och påpekanden förmå den personuppgifts- Tillsyn, sanktioner och rättsmedel ansvarige eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig. Myndigheten får även utfärda en skriftlig varning. Om tillsynsmyndigheten konstaterar att person- uppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet annars inte fullgör sina skyldigheter, får myndigheten förelägga denne att vidta åtgärder för att behandlingen ska bli författningsenlig eller uppfylla andra skyldigheter, förbjuda fortsatt behandling när bristen är all- varlig eller besluta om sanktionsavgift. Det ska inte vara möjligt att förena ett föreläggande med vite. Överträdelser av bestämmelser om personuppgiftsbehandling ska inte vara straffsanktionerade utöver vad som följer enligt brotts- balken, t.ex. genom bestämmelserna om brott mot tystnadsplikt och tjänstefel. Enligt utredningen skulle ett särskilt straffansvar inte utgöra en tillräckligt effektiv sanktion. I stället ska tillsynsmyndig- heten kunna ta ut sanktionsavgifter av personuppgiftsansvariga och i några fall av personuppgiftsbiträden vid överträdelser av vissa bestämmelser i brottsdatalagen. Sanktionsavgift ska också få tas ut vid underlåtenhet att bistå tillsynsmyndigheten eller att rätta sig efter förelägganden eller beslut som myndigheten meddelat. Sank- tionsavgift ska kunna påföras både myndigheter, såväl statliga som kommunala, och andra. För mindre allvarliga överträdelser, t.ex. överträdelse av skyldigheten att göra en konsekvensbedömning och samråda med tillsynsmyndigheten, ska avgiften uppgå till och högst . För allvarliga överträd- elser ska avgiften uppgå till och högst 20 mil- joner kronor. Skälen till att sanktionsavgifterna bestämts på detta sätt har angetts vara att de i första hand kan komma i fråga för myndigheter och att de bör ligga i linje med de sanktionsavgifter som finns på andra områden och med storleken på företagsbot. Vid bedömningen av om en avgift ska tas ut och till vilket belopp ska särskild hänsyn tas till om överträdelsen varit uppsåtlig eller berott på oaktsamhet, vilken skada, fara eller kränkning som överträdelsen inneburit, överträdelsens karaktär, svårhetsgrad och varaktighet, vad den personuppgiftsansvarige eller personuppgifts- biträdet gjort för att begränsa skadan och om denne tidigare ålagts att betala sanktionsavgift. Sanktionsavgiften får sättas ned helt eller delvis, om överträdelsen är ringa eller ursäktlig eller om det annars Tillsyn, sanktioner och rättsmedel med hänsyn till omständigheterna skulle vara oskäligt att ta ut av- giften. Därutöver ska gälla vissa bestämmelser om förfarandet vid be- slut om sanktionsavgifter och om verkställighet av avgifterna. Befogenheter och sanktioner vid kamerabevakning De ovan beskrivna uppgifterna, befogenheterna och sanktionerna, som kommer att gälla för personuppgiftsbehandling i allmänhet enligt bestämmelserna i förordningen och dataskyddslagen med före- skrifter eller enligt bestämmelserna i brottsdatalagen och dess före- skrifter, måste – till följd av förordningens direkta tillämplighet respektive kraven i direktivet – eller bör gälla även för kamera- bevakning som avses i kamerabevakningslagen i de frågor som inte regleras direkt i lagen. De skäl som anförts för dessa bestämmelser har fog för sig även på kamerabevakningsområdet. Bestämmelserna ska därför gälla för kamerabevakning. Det kan åstadkommas genom den i avsnitt 10.1 föreslagna bestämmelsen om kamerabevaknings- lagens förhållande till andra bestämmelser. Till skillnad mot vad som gäller enligt dagens kameraövervakningslag innebär det bl.a. att vite, handräckning av och straffansvar inte kan komma i fråga vid tillsyn av eller överträdelser vid kamera- bevakning enligt sådana bestämmelser. Vad gäller de frågor som regleras särskilt i kamerabevaknings- lagen – kravet på tillstånd till kamerabevakning, kravet på upplys- ning om bevakning och förhandlingsskyldigheten för arbetsgivare – måste också gälla vissa bestämmelser om tillsynsmyndighetens upp- gifter och befogenheter samt om sanktioner vid överträdelser. Bestämmelserna i förordningen och de generella författningarna kan inte – om inte annat anges i dessa – gälla direkt, eftersom de är kopplade till de materiella bestämmelser som finns där. Enligt för- ordningen är det möjligt att i nationell rätt, såsom kamerabevak- ningslagen, föreskriva ytterligare befogenheter för tillsynsmyndig- heten och enligt direktivet får det i nationell rätt föreskrivas starkare skyddsåtgärder än de som följer av direktivet. Det kan vidare konstateras att ett svenskt tillståndskrav, som ju är tillåtet enligt EU-regleringen, av naturliga skäl kräver kompletterande svenska bestämmelser för att tillsynsmyndigheten ska ha nödvändiga verk- Tillsyn, sanktioner och rättsmedel tyg i tillståndsförfarandet och vid överträdelser. Följaktligen kan relevanta bestämmelser i förordningen, dataskyddslagen och dess föreskrifter respektive brottsdatalagen och dess föreskrifter i och för sig göras tillämpliga även i fråga om de nämnda bestämmelserna i kamerabevakningslagen. När det gäller upplysningar, tillträde till lokaler och dylikt, dvs. så- dana befogenheter som i förordningen kallas utredningsbefogen- heter och i brottsdatalagen kallas undersökningsbefogenheter, skulle det visserligen kunna vara tillräckligt att tillämpa bestämmelser i förvaltningslagen (1986:233), som troligen kommer att ersättas av en ny förvaltningslag (se prop. 2016/17:180). De krav som kamerabevakningslagen ska innehålla är sådana att den som vill bedriva kamerabevakning ska vända sig till tillsynsmyndigheten och har ett intresse i saken som gör att behovet av att införa särskilda bestämmelser om upplysningar m.m. i lagen eller av att låta bestäm- melserna i förordningen och de generella författningarna gälla fram- står som litet. Emellertid kan det inte uteslutas att det behövs särskilda sådana krav, t.ex. i ett ärende om återkallelse av tillstånd. Att då låta förordningens och de generella författningarnas bestäm- melser gälla är lämpligast. Dessa är, i de delar de kan tillämpas, ändamålsenliga även i ärenden enligt kamerabevakningslagen. En fördel med en sådan lösning är att regleringen då blir densamma som för andra situationer som avser kamerabevakning men som inte regleras direkt i kamerabevakningslagen. Det stämmer väl överens med den angivna utgångspunkten att bestämmelserna bör anpassas till EU-regleringen även i delar där de i och för sig skulle kunna utformas annorlunda. Onödiga olikheter i fråga om kamerabevak- ning beroende på om en viss skyldighet eller liknande finns direkt i kamerabevakningslagen eller följer av förordningen eller brottsdata- lagen kan undvikas. Dessutom uppstår det inte några skillnader jäm- fört med regleringen och hanteringen av liknande frågor avseende annan personuppgiftsbehandling. Det kan underlätta för såväl till- synsmyndigheten som enskilda. Även om det delvis följer redan av den föreslagna generella reg- leringen, föreslås det därför att bestämmelserna i förordningen, dataskyddslagen och lagens föreskrifter eller brottsdatalagen och den lagens föreskrifter om befogenheter för tillsynsmyndigheten avseende upplysningar etc. ska tillämpas också i ett ärende hos den Tillsyn, sanktioner och rättsmedel myndigheten enligt kamerabevakningslagen, dvs. i en fråga om till- stånd till kamerabevakning, om undantag från upplysningskravet vid kamerabevakning eller om återkallelse eller ändring av ett till- ståndsbeslut eller beslut om undantag. Det förra regelverket ska tillämpas vad gäller kamerabevakning som utgör personuppgifts- behandling som omfattas av förordningens egentliga tillämpnings- område eller av förordningen och dataskyddslagen genom den bestäm- melse om detta som finns i den lagen. Det senare regelverket ska tillämpas vad gäller kamerabevakning som utgör personuppgifts- behandling som omfattas av brottsdatalagen. Det föreslås att ordet undersökningsbefogenheter används som gemensamt begrepp i ka- merabevakningslagen för det som i brottsdatalagen benämns under- sökningsbefogenheter och i förordningen benämns utrednings- befogenheter. Till skillnad mot vad som gäller enligt kameraöver- vakningslagen kan handräckning inte komma i fråga i ärenden om kamerabevakning. Vite behandlas nedan. När det gäller sanktioner för underlåtenhet att bistå tillsyns- myndigheten i ett ärende enligt kamerabevakningslagen eller vid överträdelse av lagens materiella bestämmelser eller av beslut som meddelats med stöd av lagen saknas det skäl att se annorlunda på frågan om vilka sanktioner som kan eller bör gälla än vad Data- skyddsutredningen och Utredningen om 2016 års dataskyddsdirek- tiv gjort. Det innebär att ett system med en administrativ sanktion