sou · H5B355 · 2017-06-16 00:00:00 — En tänkbar förklaring till detta är att införandet av kameraövervakningslagen innebar att tillståndsplikten ersattes med anmälningsplikt för viss kameraöver- vakning, bl.a. övervakning i parkeringshus och övervakning i butiker. De förändringar som infördes i och med kameraövervaknings- lagen har fått ett visst praktiskt genomslag men inte inneburit några mer betydande förändringar av möjligheterna till kamera- övervakning eller för skyddet av den personliga integriteten. En förändring var att användning av teknik som främjar skyddet av den enskildes personliga integritet ska beaktas särskilt vid bedöm- ningen av integritetsintresset vid tillståndsprövningen. Enligt såväl Datainspektionen som flertalet länsstyrelser beaktas integritets- främjande teknik vid prövningen. Flera av länsstyrelserna har angett att detta också leder till att fler tillstånd kan beviljas. Exempel på relativt vanligt förekommande integritetsvänlig teknik är maskering av delar av kamerornas upptagningsområde och kameror som akti- veras vid larm eller avvikande beteende, rörelsemönster etc. Införandet av bl.a. starkare sekretesskydd, ökade krav på säker- hetsåtgärder och en skadeståndsbestämmelse som ger enskilda rätt till ersättning för skada och kränkning vid överträdelser av lagen har inte ha haft några större effekter i praktiken. Enligt kartläggningen har Datainspektionens centrala tillsynsansvar lett till att länsstyrelsernas rättstillämpning har blivit mer enhetlig. Datainspektionen har överklagat beslut i högre grad än vad Justitie- kanslern har gjort, vilket lett till en mer utvecklad dom- stolspraxis. Enligt Datainspektionen var det vanligt förekommande att inspektionen överklagade länsstyrelsernas beslut för att bedömningen inte var korrekt eller för att obliga- toriska tillståndsvillkor saknades. och början av 2016 rörde den större delen av överklagandena däremot frågor av mer principiell karaktär. Vidare sjönk andelen överklagade beslut, vilket också tyder på att länsstyrelsernas praxis har blivit mer enhetlig. Även Datainspektionens arbete med råd och anvisningar och inspektionens medverkan i länsstyrelsernas samverkansgrupp har haft betydelse för den ökade enhetligheten i rättstillämpningen. Drönare och ny teknik Kartläggningen och de synpunkter som lämnats av aktörer som berörs av kameraövervakningslagstiftningen visar att kameraövervak- ningslagen är teknikberoende. Det har särskilt framhållits att lagens definition av övervakningskamera skapar tillämpningsproblem. Sådana frågor har tidigare uppkommit särskilt vad gäller kamera- utrustade drönare och dash-cams. har HFD genom de ovan redovisade avgörandena klargjort hur definitionen ska tolkas i de fallen. HFD:s avgöranden innebär att en kamerautrustad drönare normalt omfattas av kameraövervakningslagen medan en sådan dash- cam som var föremål för domstolens prövning inte omfattas av lagen. Från flera olika aktörer har det framförts att kameraövervak- ningslagstiftningen bör fokusera mer på behandlingen av det upp- tagna materialet än på kameratekniken. Även lagens distinktion mellan platser dit allmänheten har tillträde och platser dit allmän- heten saknar tillträde har medfört vissa tillämpningsproblem. Kameraövervakning på särskilda platser Av kartläggningen framgår att kameraövervakningslagen inte har inneburit någon egentlig förändring av möjligheterna till kamera- övervakning på brottsutsatta platser. Vad t.ex. gäller kameraöver- vakning av gator och torg gäller fortsatt den restriktiva rättspraxis som etablerats innan lagen trädde i kraft. Rättspraxis är särskilt restriktiv när sådan kameraövervakning ska bedrivas av andra aktörer än brottsbekämpande myndigheter, som t.ex. kommuner. Kartlägg- ningen visar också att det är ovanligt att sådana aktörer ansöker om tillstånd till kameraövervakning. Vidare är det enligt kartläggningen ovanligt med ansökningar om tillstånd till kameraövervakning av asylboenden, medieredaktioner och lokaler som används av religiösa samfund. När sådana ansök- ningar har gjorts har en del bifallits medan andra avslagits. Avslagen har i många fall motiverats med att sökanden inte har visat att platsen är särskilt brottsutsatt. Datainspektionen har framhållit att det inte finns några uttalanden vare sig i lagtext eller i förarbeten som ger stöd för att det vid tillståndsprövningen är möjligt att be- akta generella hotbilder eller liknande omständigheter. Utrymmet att beakta att vissa platser kan ha en generell hotbild riktad mot sig är alltså begränsat. Kameraövervakning av jordbruks- och skogsbruksmaskiner Det har framkommit att det inom jord- och skogsbruket är relativt vanligt med stölder av jordbruks- och skogsbruksmaskiner samt driv- medel. Brottsligheten gäller stora ekonomiska värden. Det har också framkommit att det finns ett stort behov av att kunna använda åtel- kameror. visar kartläggningen att ansökningar om tillstånd till kameraövervakning avseende maskiner, arbetsbodar och liknande ute i skog och mark knappt förekommer. Även vad gäller åtelkameror förekommer i praktiken inte några ansökningar om tillstånd. 6Den nya dataskyddsregleringen i EU 6.1Reformen av EU:s dataskyddsreglering ning (EU) 2016/679 av personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direk- tiv 95/46/EG (allmän dataskyddsförordning), nedan kallad förord- ningen. Förordningen utgör en ny generell reglering för personupp- giftsbehandling inom EU och ersätter dataskyddsdirektiv . Förordningen baseras till stor del på den struktur och reglering som finns i direktivet men är i många avseenden mer detaljerad och den innehåller även en rad nyheter. Förordningen kommer att vara direkt tillämplig i alla EU:s med- lemsstater. med förordningen antogs och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lag- föra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets ram- beslut /977/RIF, nedan kallat direktivet. Direktivet innehåller särregler för sådan personuppgiftsbehand- ling som behöriga myndigheter utför i syfte att förebygga, för- hindra, utreda, avslöja eller lagföra brott eller verkställa straffrätts- liga påföljder, inklusive att skydda mot samt förebygga och för- hindra hot mot den allmänna säkerheten. Direktivet ersätter data- skyddsrambeslutet och omfattar till skillnad mot detta även rent nationell personuppgiftsbehandling på området för brottsbekämp- Den nya dataskyddsregleringen i EU ning, brottmålshantering och straffverkställighet. Direktivet inne- håller en delvis ny eller mer detaljerad reglering. Direktivet ska vara genomfört i svensk rätt . Förordningen finns i bilaga 3 och direktivet finns i bilaga 4. I följande avsnitt redogörs översiktligt för innehållet i de båda rätts- akterna. Förordningen är indelad i elva kapitel och innehåller 99 artiklar. I förordningens kapitel I, artiklarna 1–4, finns allmänna bestämmelser om syftet med och tillämpningsområdet för förordningen. Där finns också vissa definitioner. I artikel 1 anges förordningens syfte. Av artikeln följer bl.a. att förordningen skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, och att det fria flödet av personuppgifter inom EU varken får begränsas eller får förbjudas av skäl som rör skyddet för personuppgifter. Enligt artikel 2.1 ska förordningen tillämpas på sådan behand- ling av personuppgifter som helt eller delvis företas på automati- serad väg samt på annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Artikel 2.2 innehåller vissa undantag från tillämpningsområdet. Enligt artikel 3 är förordningen tillämplig på behandling av per- sonuppgifter inom ramen för verksamhet som bedrivs av en person- uppgiftsansvarig – eller ett personuppgiftsbiträde – som är etablerad i EU, oavsett om behandlingen utförs i unionen eller inte. Förord- ningen är också tillämplig på behandling av personuppgifter som avser registrerade som befinner sig i unionen av en personupp- giftsansvarig som inte är etablerad i unionen, om behandlingen har anknytning till utbjudande av varor eller tjänster till sådana regi- strerade eller övervakning av de registrerades beteende. Slutligen är förordningen tillämplig på behandling av personuppgifter som ut- förs av en personuppgiftsansvarig som inte är etablerad i unionen Den nya dataskyddsregleringen i EU men på en plats där den nationella lagstiftningen i en medlemsstat gäller på grund av folkrätten. I artikel 4 finns ett antal definitioner av begrepp som används i förordningen, t.ex. personuppgifter, behandling, personuppgifts- ansvarig, personuppgiftsbiträde och samtycke. I kapitel II i förordningen, artiklarna 5–11, finns principer för be- handling av personuppgifter. Av artikel 5 följer sammanfattningsvis att personuppgifter a)ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till de registrerade, b)ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål, c)ska vara adekvata, relevanta och inte för omfattande i förhåll- ande till de ändamål för vilka de behandlas, d)ska vara korrekta och om nödvändigt uppdaterade, e)inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas, och f)ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna med användning av lämpliga tekniska eller orga- nisatoriska åtgärder. I artikel 6.1 finns en uppräkning av i vilka fall personuppgifts- behandlingar är lagliga. De grunder som räknas upp är följande. a)Den registrerade har lämnat sitt samtycke till att hans eller hennes personuppgifter behandlas. b)Behandlingen är nödvändig för att fullgöra ett avtal. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Den nya dataskyddsregleringen i EU d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning. f)Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter. Detta gäller inte för behandling som utförs av offentliga myn- digheter när de fullgör sina uppgifter. Enligt artikel 6.2 får en medlemsstat behålla eller införa mer speci- fika nationella bestämmelser för att efterleva bl.a. artikel 6.1 e. Av artikel 6.3 följer att grunden för behandling enligt artikel 6.1 e ska fastställas i unionsrätten eller nationell rätt. Vidare kan nationell rätt innehålla särskilda bestämmelser om bl.a. allmänna villkor för behandlingen, vilken typ av uppgifter som ska behandlas, vilka regi- strerade som berörs, de enheter till vilka uppgifter får lämnas ut, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling. I artikel 6.4 finns bestämmelser om behandling för något annat ändamål än det för vilket personupp- gifterna ursprungligen samlades in. I artiklarna 7 och 8 finns bl.a. bestämmelser om villkor för sam- tycke till personuppgiftsbehandling. Enligt artikel 9.1 är det förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och att be- handla genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. I artikel 9.2–9.4 finns undantag från förbudet mot behandling. I artikel 10 regleras behandling av personuppgifter som avser fällande domar och lagöverträdelser. Artikel 11 innehåller bestämmelser om behandling som inte kräver att den registrerade identifieras. Den nya dataskyddsregleringen i EU Kapitel III i förordningen, artiklarna 12–23, innehåller bestämmelser om registrerades rättigheter. I artiklarna 13 och 14 finns bestämmelser om vilken information som en personuppgiftsansvarig är skyldig att lämna till de regi- strerade. Vidare finns i artiklarna 15–18 utförliga bestämmelser om den registrerade rätt att, under vissa förutsättningar, få tillgång till personuppgifter och att få uppgifter rättade, kompletterade eller raderade. Artiklarna 19 och 20 reglerar bl.a. den personuppgiftsansvariges anmälningsskyldighet avseende t.ex. rättelse eller radering. I artikel 21 finns bestämmelser om den registrerades rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller f. Artikel 22 innehåller bestämmelser om auto- matiserat beslutsfattande. Enligt artikel 23.1 får medlemsstaterna i nationell rätt begränsa de registrerades rättigheter enligt kapitlet liksom kraven enligt arti- kel 5. I artikel 23.2 anges vad en nationell reglering med denna typ av begränsningar ska innehålla. Skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden Kapitel IV i förordningen, artiklarna 24–43, innehåller skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden. I kapitlet finns bestämmelser om allmänna skyldigheter, säkerhet för person- uppgifter, konsekvensbedömning och samråd, dataskyddsombud samt uppförandekoder och certifiering. I detta sammanhang ska sär- skilt nämnas vissa artiklar. Artiklarna 25 och 32 innehåller relativt detaljerade bestämmelser om säkerhet vid behandling av personuppgifter. Vidare innehåller artikel 28 bestämmelser om vad som gäller när behandling av person- uppgifter ska genomföras på en personuppgiftsansvarigs vägnar. Enligt artikel 35 ska en personuppgiftsansvarig i vissa fall göra en konsekvensbedömning innan en behandling av personuppgifter får ske. När en konsekvensbedömning visar att behandlingen skulle leda till en hög risk för fysiska personers rättigheter och friheter, om inte den personuppgiftsansvarige vidtar åtgärder för att minska Den nya dataskyddsregleringen i EU risken, ska enligt artikel 36.1 den personuppgiftsansvarige samråda med tillsynsmyndigheten före behandlingen. Överföring till tredjeland eller internationella organisationer I kapitel V i förordningen, artiklarna 44–50, regleras under vilka förutsättningar personuppgifter får överföras till tredjeland eller till internationella organisationer. Huvudregeln är att en överföring är tillåten, om det mottagande tredjelandet eller den mottagande orga- nisationen kan säkerställa en adekvat skyddsnivå för uppgifterna. Det är kommissionen som beslutar om ett tredjeland eller en orga- nisation uppfyller detta krav eller inte. Om kommissionen inte har fattat något sådant beslut, är det tillåtet att överföra personupp- gifter förutsatt att den som ska överföra uppgifterna vidtar vissa lämpliga skyddsåtgärder. Därutöver får överföring av personupp- gifter ske i vissa undantagssituationer. Vissa av dessa undantag får dock inte åberopas av myndigheter. I kapitel VI, artiklarna 51–59, finns bestämmelser om tillsyn. I artik- larna 51 och 52 anges att medlemsstaterna ska utse en eller flera oberoende tillsynsmyndigheter som ska ansvara för att övervaka tillämpningen av förordningen. I artiklarna 53 och 54 finns bestäm- melser om inrättandet av en tillsynsmyndighet och om dess leda- möter. Artiklarna 55–59 reglerar tillsynsmyndighetens behörighet, uppgifter och befogenheter, såväl utredningsbefogenheter som korri- gerande befogenheter. I kapitel VII i förordningen, artiklarna 60–76, finns bestämmel- ser om samarbete och enhetlighet. Där finns bestämmelser som förpliktar en nationell tillsynsmyndighet att samarbeta med och assistera tillsynsmyndigheterna i andra medlemsstater. Vidare in- rättas genom artiklarna 68 och 69 den Europeiska dataskydds- styrelsen som ett oberoende unionsorgan och med ställning som juridisk person. I artiklarna 70–76 finns bestämmelser om styrel- sens uppgifter, beslutsförfarande, sammansättning och sekretess för överläggningar. Den nya dataskyddsregleringen i EU Rättsmedel, ansvar och sanktioner I kapitel VIII, artiklarna 77–84, finns bestämmelser om rättsmedel, ansvar och sanktioner. I artikel 77 anges att en registrerad ska ha rätt att framföra klagomål hos tillsynsmyndigheten. Enligt artiklarna 78 och 79 ska fysiska och juridiska personer ha rätt till ett effektivt rättsmedel både mot tillsynsmyndighetens beslut och direkt mot en person- uppgiftsansvarig eller ett personuppgiftsbiträde, om den registrerade anser sig ha fått sina rättigheter enligt förordningen åsidosatta. Artiklarna 80 och 81 innehåller bestämmelser om företrädare för registrerade och om vilandeförklaring av mål i domstol. Enligt artikel 82 ska den som har lidit materiell eller immateriell skada till följd av en överträdelse av förordningen ha rätt till ersätt- ning av den personuppgiftsansvarige eller personuppgiftsbiträdet under vissa förutsättningar. Av artikeln följer också i vilken med- lemsstat en skadeståndstalan ska väckas. I artikel 83 finns bestämmelser om administrativa sanktionsavgifter vid vissa överträdelser av förordningen. Enligt artikel 84 ska medlemsstaterna fastställa effektiva, pro- portionella och avskräckande sanktioner för överträdelser av förord- ningen. I kapitel IX i förordningen, artiklarna 85–91, finns bestämmelser om särskilda situationer av behandling av personuppgifter. I artiklarna 85 och 86 finns bestämmelser som ger medlems- staterna utrymme att reglera förhållandet mellan skyddet för person- uppgifter och yttrande- och informationsfriheten respektive offent- lighetsprincipen. I artikel 87 regleras behandling av nationella identi- fikationsnummer. Enligt artikel 88 får medlemsstaterna i lag eller i kollektivavtal fastställa mer specifika regler för att säkerställa skyddet av rättig- heter och friheter vid behandling av personuppgifter i anställnings- förhållanden. I artikel 89 finns bestämmelser om behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsända- mål och statistiska ändamål. Den nya dataskyddsregleringen i EU Enligt artikel 90 får medlemsstaterna anta särskilda bestämmelser för att fastställa tillsynsmyndigheternas befogenheter gentemot per- sonuppgiftsansvariga eller personuppgiftsbiträden som enligt unions- rätten eller medlemsstaternas nationella rätt omfattas av tystnads- plikt eller andra motsvarande former av förbud mot att lämna ut uppgifter. I artikel 91 regleras befintliga bestämmelser om dataskydd inom kyrkor och religiösa samfund. I kapitel X och XI, artiklarna 92–99, finns bestämmelser om genom- förandeakter och slutbestämmelser. I artiklarna 92 och 93 finns bestämmelser om delegerade akter och kommittéförfarande. Artiklarna 94–99 innehåller bestämmelser om bl.a. upphävande av dataskyddsdirektiv, förordningens förhållande till andra unionsrättsakter och tidigare ingångna avtal, kommissionens rapporteringsskyldighet samt förordningens ikraft- trädande och tillämpning. Förordningen ska tillämpas . Direktivet är indelat i tio kapitel och innehåller 65 artiklar. I direktivets kapitel I, artiklarna 1–3, finns allmänna bestämmelser om syfte och mål med direktivet och tillämpningsområdet för direk- tivet. Där finns också vissa definitioner. I artikel 1.1 anges att direktivet innehåller bestämmelser om skydd för fysiska personer med avseende på behandling av personupp- gifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Den nya dataskyddsregleringen i EU Enligt artikel 1.2 ska medlemsstaterna dels skydda fysiska per- soners grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, dels säkerställa att sådant informations- utbyte mellan behöriga myndigheter som är nödvändigt enligt unions- rätten eller nationell rätt inte begränsas. I artikel 1.3 anges att direktivet inte ska hindra att medlems- staterna föreskriver starkare skyddsåtgärder än de som fastställs i direktivet för skyddet av den registrerades rättigheter och friheter. Artikel 2 innehåller bestämmelser om direktivets tillämpnings- område. I artikel 2.1 anges att direktivet är tillämpligt på behand- ling av personuppgifter som utförs av behöriga myndigheter för de ändamål som anges i artikel 1.1. Enligt artikel 2.2 ska direktivet tillämpas på behandling av personuppgifter som helt eller delvis före- tas på automatiserad väg samt på annan behandling än automati- serad behandling av personuppgifter som ingår i eller kommer att ingå i ett register. I artikel 2.3 finns vissa undantag från tillämp- ningsområdet. I artikel 3 finns ett antal definitioner av begrepp som används i direktivet, t.ex. personuppgifter, behandling, behörig myndighet, personuppgiftsansvarig och personuppgiftsbiträde. I kapitel II i direktivet, artiklarna 4–11, finns principer för behand- ling av personuppgifter. Av artikel 4 följer bl.a. att personuppgifter ska behandlas på ett lagligt och korrekt sätt samt att de ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas på ett sätt som står i strid med dessa ändamål. Enligt artikel 5 ska medlemsstaterna föreskriva att lämpliga tidsgränser fastställs för radering av personuppgifter eller för periodisk översyn av behovet av att lagra personuppgifter. Procedurrelaterade åtgärder ska säkerställa att tidsgränserna efterlevs. I artiklarna 6 och 7 finns bestämmelser om den personuppgifts- ansvariges skyldighet att göra åtskillnad mellan olika kategorier av registrerade och mellan personuppgifter samt om kontroll av kvali- teten på personuppgifterna. Enligt artikel 8 ska behandling vara laglig endast om och i den mån den är nödvändig för att utföra en uppgift som utförs av en Den nya dataskyddsregleringen i EU behörig myndighet för de ändamål som anges i artikel 1.1 och som sker på grundval av unionsrätten eller nationell rätt. I artikel 9 finns bestämmelser om vad som gäller om en behörig myndighet behandlar personuppgifter för andra ändamål än de som anges i artikel 1.1. Enligt artikel 10 ska behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av gene- tiska uppgifter, biometriska uppgifter för att unikt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk per- sons sexualliv eller sexuella läggning endast vara tillåten under vissa förutsättningar. Artikel 11 innehåller bestämmelser om automatiserat beslutsfatt- ande. Kapitel III, artiklarna 12–18, innehåller bestämmelser om registrerades rättigheter. I artiklarna 12 och 13 finns bestämmelser om bl.a. vilken informa- tion som en personuppgiftsansvarig är skyldig att lämna till regi- strerade. Artiklarna 14–16 innehåller bestämmelser om bl.a. registrerades rätt att, under vissa förutsättningar, få tillgång till personuppgifter och att få uppgifter rättade, kompletterade eller raderade. Enligt artikel 17 kan vissa av de registrerades rättigheter utövas genom tillsynsmyndigheten. I artikel 18 anges att medlemsstaterna får föreskriva att de rättig- heter som avses i artiklarna 13, 14 och 16 ska utövas i enlighet med nationell rätt, om personuppgifterna ingår i ett domstolsbeslut eller ett rättsligt protokoll eller ärende som behandlas i samband med brottsutredningar och straffrättsliga förfaranden. Den nya dataskyddsregleringen i EU Skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden