sou · H5B355 · 2017-06-16 00:00:00 — Kapitel IV, artiklarna 19–34, innehåller bestämmelser om skyldig- heter för personuppgiftsansvariga och personuppgiftsbiträden. I artiklarna 19–26 finns bestämmelser om bl.a. inbyggt data- skydd och dataskydd som standard, behandling av personuppgifter på en personuppgiftsansvarigs vägnar, förande av register, loggning samt samarbete med tillsynsmyndigheter. Enligt artiklarna 27 och 28 är personuppgiftsansvariga i vissa fall skyldiga att upprätta en konsekvensbedömning och beroende på utfallet av bedömningen samråda med tillsynsmyndigheten. Artiklarna 29–31 innehåller bestämmelser om säkerhet för person- uppgifter och personuppgiftsincidenter. I artiklarna 32–34 finns bestämmelser om dataskyddsombud. Överföring till tredjeland eller internationella organisationer I kapitel V, artiklarna 35–40, finns bestämmelser om överföring av personuppgifter till tredjeland eller internationella organisationer. I kapitel VI, artiklarna 41–49, finns bestämmelser om tillsyn. I artik- larna 41 och 42 anges att medlemsstaterna ska utse en eller flera oberoende tillsynsmyndigheter som ska ansvara för att övervaka tillämpningen av direktivet. I artiklarna 43 och 44 finns bestäm- melser om inrättandet av en tillsynsmyndighet och om dess leda- möter. Artiklarna 45–49 reglerar tillsynsmyndighetens behörighet, uppgifter och befogenheter, såväl undersökningsbefogenheter som korrigerande befogenheter. Kapitel VII, artiklarna 50 och 51, innehåller bestämmelser om samarbete. I artikel 50 finns bestämmelser som förpliktar en tillsyns- myndighet att samarbeta med och assistera tillsynsmyndigheterna i andra medlemsstater. Artikel 51 innehåller bestämmelser om upp- gifter för den genom förordningen inrättade Europeiska dataskydds- styrelsen när det gäller personuppgiftsbehandling som omfattas av direktivet. Den nya dataskyddsregleringen i EU Rättsmedel, ansvar och sanktioner I kapitel VIII, artiklarna 52–57, finns bestämmelser om rättsmedel, ansvar och sanktioner. I artikel 52 anges att en registrerad ska ha rätt att framföra klagomål hos tillsynsmyndigheten. Enligt artiklarna 53 och 54 ska fysiska och juridiska personer ha rätt till ett effektivt rättsmedel både mot tillsynsmyndighetens beslut och mot en personuppgifts- ansvarig eller ett personuppgiftsbiträde. Artikel 55 innehåller bestäm- melser om företrädare för registrerade. Enligt artikel 56 ska den som har lidit materiell eller immateriell skada till följd av en överträdelse av direktivet ha rätt till ersättning av den personuppgiftsansvarige eller personuppgiftsbiträdet under vissa förutsättningar. Enligt artikel 57 ska medlemsstaterna föreskriva effektiva, pro- portionella och avskräckande sanktioner för överträdelser av direk- tivet. Kapitel IX och X innehåller bestämmelser om genomförandeakter och slutbestämmelser. I artikel 58 finns bestämmelser om kommitté- förfarande. Artiklarna 59–65 innehåller bestämmelser om bl.a. direk- tivets förhållande till vissa unionsrättsakter och tidigare ingångna avtal, kommissionens rapporteringsskyldighet samt direktivets inför- livande och ikraftträdande. Direktivet ska vara genomfört i medlems- staterna . 7Kameraövervakningslagen och den nya EU-regleringen 7.1.1Allmänt om förordningen och kameraövervakningslagen Bedömning: Kameraövervakning enligt kameraövervaknings- lagen (2013:460) kan utgöra personuppgiftsbehandling som om- fattas av dataskyddsförordningen. Eftersom förordningen kommer att gälla direkt i för kameraövervakning som faller in under förordningens tillämpningsområde, kan bestämmelser om kameraövervakning som upprepar eller avviker från innehållet i förordningen inte behållas eller införas i svensk lagstiftning annat än om förordningen lämnar utrymme för det. Det måste därför analyseras hur bestämmelserna i kameraövervakningslagen för- håller sig till innehållet i förordningen och vilka ramar förord- ningen ger för en framtida svensk lagstiftning om kameraöver- vakning. Skälen för bedömningen: EU-förordningar ska enligt artikel 288 i fördraget om Europeiska unionens funktionssätt ha allmän giltig- het samt vara till alla delar bindande och direkt tillämpliga i varje medlemsstat i EU. Förordningar gäller alltså fullt ut och med samma innehåll inom hela EU och ska inte genomföras i nationell rätt. De varken ska eller får inkorporeras i eller transformeras till nationell rätt. En medlemsstat kan endast behålla eller införa nationell lag- stiftning på det område som en förordning omfattar, om förord- ningen ger utrymme för det. Den nya dataskyddsförordningen, som presenterats i avsnitt 6.2, kommer därför att gälla direkt i liksom i EU:s övriga med- Kameraövervakningslagen och den nya EU-regleringen lemsstater när den ska börja tillämpas . Den förut- sätter alltså inte att dess innehåll genomförs i svensk rätt. Tvärtom kan svenska bestämmelser om behandling av personuppgifter som upprepar innehållet i förordningen eller som avviker från förord- ningen inte behållas eller införas i svensk rätt annat än om förord- ningen lämnar utrymme för det. Enligt förordningen finns det ett visst utrymme för medlems- staterna att behålla eller införa en särreglering för personuppgifts- behandling i vissa verksamheter och i vissa avseenden. Det finns även, enligt skäl 8 i ingressen till förordningen, ett visst utrymme att införliva delar av förordningen i nationell rätt. Det förutsätter att detta är nödvändigt för att göra nationella bestämmelser begrip- liga i tillämpningen. En nationell reglering kan gälla för främst myn- digheter och utformas efter nationella regelverk och andra natio- nella förutsättningar för myndigheterna i en medlemsstat. En viktig fråga att besvara är därför vilka dessa verksamheter är och i vilka avseenden en särreglering är möjlig. En anknytande grundläggande fråga är vilka verksamheter som omfattas av förordningen. Vissa omfattas i stället av det nya dataskyddsdirektivet, som presenterats i avsnitt 6.3 och som ska genomföras i svensk rätt på annat sätt än förordningen, se nedan avsnitt 7.2. Andra faller utanför både för- ordningens och direktivets tillämpningsområde och personuppgifts- behandling i sådana verksamheter kan regleras genom rent inhemsk svensk rätt, se avsnitt 7.3. Förordningen innehåller vidare i vissa delar huvudregler som medlemsstaterna kan göra undantag från genom nationell lagstift- ning, oavsett vem som behandlar personuppgifterna. Även i dessa avseenden finns alltså en möjlighet att vid behov behålla eller införa svenska bestämmelser under vissa förutsättningar. Slutligen finns det utrymme för att i svensk rätt behålla eller in- föra bestämmelser i frågor som anknyter till förordningen men som inte regleras där. Detsamma gäller bestämmelser som kan ses som rena kompletteringar till förordningen. Kameraövervakning enligt kameraövervakningslagen (2013:460) kan utgöra personuppgiftsbehandling som omfattas av förordningen. Eftersom förordningen kommer att gälla direkt i för kamera- övervakning som faller in under förordningens tillämpningsområde, kan bestämmelser om kameraövervakning som upprepar eller av- viker från innehållet i förordningen inte behållas eller införas i svensk Kameraövervakningslagen och den nya EU-regleringen lagstiftning annat än om förordningen lämnar utrymme för det. Som utgångspunkt gäller alltså att svenska bestämmelser som enbart upprepar eller som avviker från innehållet i förordningen inte är möjliga. Det måste därför analyseras hur bestämmelserna i kameraövervakningslagen förhåller sig till innehållet i förordningen och vilka ramar förordningen ger för en framtida svensk lag- stiftning om kameraövervakning. Denna analys görs i de följande avsnitten. Eftersom det inte är givet att kameraövervakningslagen kan eller bör behållas, anges om bestämmelser kan behållas eller kan införas i svensk lagstiftning. Frågan om det framöver behövs särskilda svenska bestämmelser på kameraövervakningsområdet och var dessa i så fall ska finnas och hur de ska utformas behandlas i avsnitt 9–15. Bedömning: Kameraövervakningslagens syfte enligt 1 § är fören- ligt med förordningens syfte enligt artikel 1. En bestämmelse om syftet med bestämmelser om kamera- övervakning som har ett visst självständigt innehåll jämfört med förordningen kan behållas eller införas i svensk lagstiftning som kompletterar förordningen. Skälen för bedömningen: I artikel 1 i förordningen anges förord- ningens syfte. Av artikeln följer bl.a. att förordningen skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, och att det fria flödet av personuppgifter inom EU varken får begränsas eller får förbjudas av skäl som rör skyddet för personuppgifter. I kameraövervakningslagen anges lagens syfte i 1 § vara att till- godose behovet av kameraövervakning för berättigade ändamål som enskilda skyddas mot otillbörliga intrång i den per- sonliga integriteten. Detta syfte är inte likalydande med men ändå förenligt med det syfte som anges i förordningen. Syftet enligt lagen kan sägas vara särskilt anpassat för svensk kameraövervaknings- lagstiftning, som har ett både vidare och snävare tillämpnings- område än förordningen, se närmare i det följande. En bestämmelse om syfte som gäller just bestämmelser om kameraövervakning och Kameraövervakningslagen och den nya EU-regleringen som inte innebär en ren upprepning av artikel 1 utan har ett visst självständigt innehåll kan behållas eller införas i svensk lagstiftning som kompletterar förordningen. Bedömning: Kameraövervakningslagens kameraövervaknings- begrepp enligt 2 § överensstämmer delvis med förordningens begrepp personuppgiftsbehandling enligt artiklarna 2 och 4. Bestämmelser med ett kameraövervakningsbegrepp som är snävare eller vidare än begreppet behandling av personuppgifter kan behållas eller införas i svensk lagstiftning som kompletterar förordningen. I artikel 2 anges förordningens materiella tillämpningsområde, där- ibland att förordningen ska tillämpas på behandling av personupp- gifter. Till artikeln anknyter vissa definitioner, som finns i artikel 4. Enligt artikel 2.1 ska förordningen tillämpas på sådan behand- ling av personuppgifter som helt eller delvis företas på automati- serad väg samt på annan behandling än automatiserad av person- uppgifter som ingår i eller kommer att ingå i ett register. Av artikel 4.1 följer att med personuppgifter avses varje upp- lysning som avser en identifierad eller identifierbar fysisk person, en s.k. registrerad. Med identifierbar avses att en person direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är speci- fika för den personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Vidare följer av artikel 4.2 att med behandling avses en åtgärd eller kombination av åtgärder beträffande personuppgifter eller upp- sättningar av personuppgifter, oberoende av om de utförs automati- serat eller inte, såsom insamling, registrering, organisering, struktu- rering, lagring, bearbetning eller ändring, framtagning, läsning, använd- Kameraövervakningslagen och den nya EU-regleringen ning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. Slutligen anges i artikel 4.6 att med ett register avses en struk- turerad samling av personuppgifter som är tillgänglig enligt sär- skilda kriterier, oavsett om samlingen är centraliserad, decentrali- serad eller spridd på grundval av funktionella eller geografiska för- hållanden. I kameraövervakningslagen definieras kameraövervakning i 2 § som användning av övervakningsutrustning. Med sådan utrustning avses övervakningskameror och övrig övervakningsutrustning. Övervak- ningskameror är TV-kameror, andra optisk-elektroniska instru- ment och därmed jämförbara utrustningar som är uppsatta så att de, utan att manövreras på platsen, kan användas för personöver- vakning samt separata tekniska anordningar för avlyssning eller upptagning av ljud, vilka i samband med användning av sådan utrust- ning används för personövervakning. Övrig övervakningsutrust- ning är separata tekniska anordningar för att behandla upptaget bild- och ljudmaterial. Med behandling avses varje åtgärd eller serie av åtgärder som vid kameraövervakning vidtas i fråga om bild- och ljudmaterial, vare sig det sker på automatisk väg eller inte, t.ex. upp- tagning, organisering, lagring, bearbetning eller ändring, användning, utlämnande genom översändande, spridning eller annat tillhanda- hållande, sammanställning eller samkörning, utplåning eller för- störing. Vissa bestämmelser i kameraövervakningslagen, exempelvis 8 och 25 §§, gäller redan när en kamera ska sättas upp, dvs. innan den har tagits i bruk. En jämförelse mellan begreppen Vid en jämförelse mellan begreppet kameraövervakning i kamera- övervakningslagen och begreppet personuppgiftsbehandling i förord- ningen kan inledningsvis slås fast att kameraövervakning ofta utgör behandling av personuppgifter. Kameraövervakningslagen och den nya EU-regleringen bär dock, tillsammans med vissa anknytande bestämmelser i lagen, vissa avvikelser från vad som i förordningen avses med behandling av personuppgifter. Förordningen avser identifierade eller identifierbara fysiska per- soner och gäller när behandling sker medan kameraövervaknings- begreppet omfattar användning av kameror som kan användas för personövervakning. Begreppet omfattar knappast alla sådana identi- fierare enligt förordningen som innebär att en viss uppgift indirekt kan härledas till en viss person. I stället tar det sikte på att en per- son kan iakttas direkt och urskiljas från andra, t.ex. genom att ansiktet syns eller genom att en utmärkande klädsel, speciella kropps- rörelser eller särskild kroppskonstitution möjliggör identifiering. Å andra sidan gäller lagen inte bara när fysiska personer övervakas utan också när övervakningen faktiskt inte fångar sådana på bild. Eftersom kameraövervakning, som framgår nedan, ska ha viss var- aktighet och förutsätter att personer i och för sig kan fångas av kameran måste övervakningen generellt kunna sägas innebära att personer övervakas. Vidare gäller kameraövervakningslagen redan när en kamera sätts upp, dvs. innan den används. Vid en jämförelse kan vidare noteras att begreppet behandling vad gäller åtgärder som vidtas vid kameraövervakning delvis är ut- format efter de särskilda förhållanden som gäller vid sådan övervak- ning. Detta innebär dock inte att begreppet i sak avviker från vad som avses med behandling enligt förordningen. Två andra kriterier som är centrala i begreppet kameraövervak- ning är kravet på att en övervakningskamera ska vara uppsatt och kravet på att den ska användas utan att manövreras på platsen. Med uppsatt avses att placeringen av kameran ska ha viss varaktighet. Med uttrycket utan att manövreras på platsen menas att den fort- löpande hanteringen av utrustningen inte sker på plats. En hand- hållen kamera faller utanför. Däremot innebär inte enbart det för- hållandet att en kamera sätts igång på stället eller fungerar med inbyggd automatik att den manövreras på platsen. De nu redo- visade två kriterierna måste uppfattas så att de endast tekniskt avgränsar denna typ av personuppgiftsbehandling från annan sådan behandling och inte ses som sakliga avvikelser från vad som ska förstås med personuppgiftsbehandling. En ytterligare fråga är hur analog kameraövervakning förhåller sig till förordningens begrepp personuppgiftsbehandling. Kameraövervakningslagen och den nya EU-regleringen övervakningslagen omfattar både analog och digital kameraöver- vakning (prop. 2012/13:115 s. 39). Styrande för förordningens tillämp- ningsområde är om en behandling företas på automatiserad väg eller om det är fråga om annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Med register avses en struk- turerad samling av personuppgifter som är tillgänglig enligt sär- skilda kriterier. Tillämpningsområdet för förordningen i detta avseende är avgrän- sat på samma sätt som dataskyddsdirektiv. Enligt , som analyserade det direktivet, stod det klart att behandling i datorer av personuppgifter som finns i datorformat – inklusive överföring av uppgifter till sådant format – som regel bör anses som automatisk behandling (SOU 1997:39 s. 295 f.). Däremot var det enligt kommittén mera osäkert om och i vilken utsträck- ning direktivets regler om automatisk behandling skulle tillämpas på behandling av personuppgifter som inte finns i datorformat, t.ex. bilder och ljud som lagrats i något analogt format, såsom på ett negativ eller ett ljud- eller videoband. Enligt kommittén föreföll det också tveksamt om direktivets bestämmelser om automatisk behandling skulle tillämpas på en analog upptagning av en människas utseende, även om upptagningen påbörjades och avslutades utan att någon operatör var direkt inblandad eller närvarande, såsom vid vissa former av videoövervakning. I förarbetena till kameraövervakningslagen uttalades att använd- ning av digital kameraövervakningsutrustning utgör behandling av personuppgifter som är helt eller delvis automatiserad medan användning av analog sådan utrustning utgör icke-automatiserad behandling (a. prop. s. 38, se även SOU 2009:87 s. 158). Vidare ut- talades att merparten av sådant material som spelas in vid kamera- övervakning varken ingår i eller är avsett att ingå i ett register. Frågan om förordningen är tillämplig på analog kameraöver- vakning eller inte kommer ytterst att få avgöras av . Den bedömning som gjordes i förarbetena till kameraövervak- ningslagen får därför anses vara behäftad med viss osäkerhet. Kameraövervakningslagen och den nya EU-regleringen Av det redovisade följer att kameraövervakningslagens kameraöver- vakningsbegrepp enligt 2 § endast delvis överensstämmer med för- ordningens begrepp personuppgiftsbehandling enligt artiklarna 2 och 4. Begreppet i förordningen är precist och detaljerat och avsett att helt harmonisera vad som ska gälla i alla medlemsstater i detta hänseende. Som kommer att framgå nedan medger inte heller vissa särskilda artiklar i förordningen, som annars öppnar för nationell särreglering, att det i svensk rätt finns ett personuppgiftsbehand- lingsbegrepp som är avvikande från begreppet i förordningen. För- ordningens begrepp behandling av personuppgifter kommer fram- över att gälla direkt i . Ett kameraövervakningsbegrepp måste innehålla vissa avgränsningar som skiljer kameraövervakning från annan personuppgiftsbehandling. Bestämmelser med ett kameraöver- vakningsbegrepp som i förtydligande syfte helt eller delvis upprepar begreppet behandling av personuppgifter och som i övrigt genom andra kriterier är snävare eller vidare än det begreppet kan behållas eller införas i svensk lagstiftning som kompletterar förordningen. Det kan finnas anledning att definiera kameraövervakning på ett annat sätt än vad som gäller enligt kameraövervakningslagen. Bedömning: Kameraövervakningslagens undantag från lagens tillämpningsområde enligt 4 och 5 §§ överensstämmer med för- ordningens undantag från tillämpningsområdet för förordningen enligt artikel 2.2. Förordningens undantag är fler än lagens. Bestämmelser om undantag från kameraövervakningsområ- det som vidgar undantagen i förordningen kan inte behållas eller införas i svensk lagstiftning som kompletterar förordningen. Be- stämmelser som upprepar förordningens undantag kan behållas eller införas, om sådana är nödvändiga för förståelsen av svensk lagstiftning. Kameraövervakningslagen och den nya EU-regleringen Skälen för bedömningen: I artikel 2 i förordningen anges att den ska tillämpas på behandling av personuppgifter. Vad som avses med sådan behandling och hur kameraövervakningslagens begrepp kamera- övervakning förhåller sig till detta har diskuterats ovan. I artikel 2.2 finns dock vissa undantag från förordningens tillämp- ningsområde i detta avseende. Några av dessa är av relevans i detta sammanhang. Där anges att förordningen inte ska tillämpas på behandling av personuppgifter som förekommer i verksamhet för brottsbekämp- ning, brottmålshantering eller straffverkställighet hos behöriga myn- digheter. Sådan personuppgiftsbehandling omfattas i stället av det nya dataskyddsdirektivet. För svenskt vidkommande innebär det att personuppgiftsbehandling i form av kameraövervakning i sådan verksamhet hos bl.a. och normalt faller utanför förordningens tillämpningsområde. Däremot omfattar ka- meraövervakningslagen sådan övervakning utom vad gäller hemlig kameraövervakning, vilket framgår av 4 §. Vidare omfattar förordningen inte personuppgiftsbehandling som helt faller utanför unionsrätten eller som medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i , nämligen verksamhet som avser den gemensamma utrikes- och säkerhetspolitiken. Det innebär bl.a. att kameraöver- vakning som sker i det svenska försvarets verksamhet i regel faller utanför förordningen. Sådan kameraövervakning träffas inte heller av direktivet. Däremot omfattas övervakningen av kameraövervak- ningslagen. Slutligen omfattar förordningen inte – och inte heller direk- tivet – personuppgiftsbehandling som en fysisk person utför som ett led i en verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. har prövat inne- börden av motsvarande undantag dataskyddsdirektiv (dom Ryneš, C-212/13, EU:C:2014:2428). Enligt domstolen kan videoövervakning som delvis omfattar ett område dit allmänheten har tillträde och som därmed går utanför upp- giftshanterarens privata sfär inte anses vara av rent privat natur eller ha samband med hans eller hennes hushåll i den mening som avses i undantaget. Kameraövervakningslagen omfattar enligt 5 § inte heller kameraövervakning som bedrivs av en fysisk person som ett led i en verksamhet av rent privat natur. Undantaget i lagen – utformat Kameraövervakningslagen och den nya EU-regleringen med förebild i personuppgiftslagen som genomfört data- skyddsdirektiv – anger inte det samband med hushållet som ut- trycks i förordningen. Emellertid innehöll redan direktivet situa- tionen med hushåll och undantaget i kameraövervakningslagen – och personuppgiftslagen – har varit avsett att stämma överens med direktivet (prop. 2012/13:115 s. 44 f.) Vidare anges i kameraövervak- ningslagen, men inte i förordningen, att undantaget avser en plats dit allmänheten inte har tillträde. Detta tillägg har dock endast ett förtydligande syfte (a. prop. a. s. och s. 146). Det ska klargöra att kameraövervakning i offentliga miljöer och av områden som är privatägda men allemansrättsligt tillgängliga inte kan utgöra ett led i en verksamhet av rent privat natur. Av ovan nämnda avgörande följer också att den viktigaste faktorn för att avgöra om förordningen är tillämplig på kameraövervakning som utförs av en fysisk person är platsen. I sak får alltså kameraöver- vakningslagens undantag för privat kameraövervakning anses överens- stämma med undantaget i förordningen. Sammanfattningsvis överensstämmer kameraövervakningslagens undantag från lagens tillämpningsområde enligt 4 och 5 §§ med förordningens undantag från tillämpningsområdet för förordningen enligt artikel 2.2. Förordningens undantag är dock fler än lagens; lagen omfattar även kameraövervakning som omfattas av det nya dataskyddsdirektivet eller som helt faller utanför unionsrätten. Be- stämmelser om undantag från kameraövervakningsområdet som vidgar undantagen i förordningen kan inte behållas eller införas i svensk lagstiftning som kompletterar förordningen. Bestämmelser som upprepar förordningens undantag kan behållas eller införas, om sådana är nödvändiga för förståelsen av svensk lagstiftning. 7.1.5Särskilt om kameraövervakning med drönare och ny teknik