sou · H5B355 · 2017-06-16 00:00:00 — Bedömning: Både kameraövervakningslagen och förordningen omfattar i de flesta fall kameraövervakning med kamerautrustade drönare. Lagen väntas dock inskränkas i detta hänseende . Sådan kameraövervakning kan i och för sig undantas från svensk lagstiftning som kompletterar förordningen. Kameraövervakningslagen och den nya EU-regleringen Skälen för bedömningen: En särskild fråga som aktualiserats är hur man rättsligt ska se på kamerautrustade drönare i olika avseenden. En drönare är ett obemannat luftfartyg som kan flyga av sig självt efter programmering eller fjärrstyras av en ope- ratör på annan plats. Den fråga som är av intresse i detta samman- hang är om kameraövervakning från drönare omfattas av den nya förordningen och dagens svenska kameraövervakningslag. Även användning av annan ny teknik för kameraövervakning kan väcka motsvarande frågor. Det gäller exempelvis mobiltelefonkameror monterade i bilar. Användningen av kamerautrustade drönare har blivit allt vanligare . Tekniken har många förtjänstfulla användnings- områden inom både offentlig och kommersiell verksamhet. Några exempel är för räddningsarbete, inom jord- och skogsbruk samt för inspektioner och tillsynsarbete. I andra fall kan kamerautrustade drönare ibland användas på ett sätt som innebär att enskilda riskerar att utsättas för integritetskränkande övervakning. Det finns viss reglering som kan träffa sådan användning, t.ex. förbudet i brotts- balken mot kränkande fotografering. Helt klart är att förordningen träffar personuppgiftsbehandling som sker genom kamerautrustade drönare eller genom användning av annan ny teknik med kamera förutsatt att förordningen i övrigt är tillämplig för den juridiska eller fysiska person som utför be- handlingen. Av intresse är här förordningens undantag för fysiska personers behandling av personuppgifter som ett led i en verksam- het av rent privat natur eller som har samband med hans eller hennes hushåll. Detta undantag torde dock inte omfatta, vilket fram- gått av föregående avsnitt, kameraövervakning av områden dit allmän- heten har tillträde. Förordningen är alltså tillämplig på kamera- övervakning med drönare både när övervakningen bedrivs av juridiska personer och i många fall när den bedrivs av fysiska personer. Däremot är den i avsnitt 5.4 beskrivna kommande EU-regleringen om luftfart av mindre intresse i detta sammanhang. När det sedan gäller kameraövervakningslagen har det tidigare varit oklart om den omfattar kamerautrustade drönare. Som redo- gjorts för i avsnitt 5.4 har frågan numera avgjorts av Högsta för- valtningsdomstolen (HFD) i en dom (HFD 2016 ref. 71 I). Av domen framgår att en kamera som monterats på en drönare kan vara uppsatt och att det gäller även om kameran mon- Kameraövervakningslagen och den nya EU-regleringen teras bort efter varje flygning. Enligt HFD krävs att placeringen av kameran har en viss varaktighet eller att kameran återkommande kommer att fästas på drönaren. I det fall som domstolen prövade var kameran att anse som uppsatt. I fråga om platsen för manövrering konstaterade domstolen att kameran på drönaren skulle fotografera från luften men styras och även i övrigt hanteras från marken. Hanteringen bedömdes därför ske från en plats som var klart åt- skild från den där kameran var uppsatt. Kameran ansågs därmed inte manövrerad på platsen. Den omfattades följaktligen av kamera- övervakningslagen. Kamerautrustade drönare faller alltså normalt in under kameraövervakningslagens tillämpningsområde förutsatt att kameraövervakningen bedrivs antingen av juridiska personer eller av fysiska personer i en miljö som inte är rent privat. När det gäller annan ny teknik kan nämnas att HFD i en dom (HFD 2016 ref. 71 II) prövat om en kamera monterad på ett cykelstyre eller på insidan av vindrutan i en bil, dvs. en dash- cam, föll in under kameraövervakningslagens tillämpningsområde. Av avgörandet framgår att en kamera som monteras på något av de angivna ställena kan vara uppsatt, om placeringen av kameran har en viss varaktighet eller kameran återkommande kommer att fästas på eller i fordonet. I fråga om platsen för manövrering anförde dom- stolen att kameran skulle vara uppsatt på cykelstyret eller på vind- rutans insida, dvs. i fordonsförarens omedelbara närhet, och att föraren skulle starta och stänga av kameran samt avgöra vad som skulle filmas genom att styra fordonet. All manövrering av kameran ansågs därför ske på platsen. Kameran omfattades därmed inte av kameraövervakningslagen. Sammanfattningsvis omfattar både kameraövervakningslagen och förordningen i de flesta fall kameraövervakning med kamerautrustade drönare. Regeringen har dock föreslagit att viss kamera- övervakning från drönare ska undantas från kameraövervaknings- lagens tillämpningsområde (prop. 2016/17:182). Lagändringen ska enligt förslaget träda i kraft . väntas besluta i frågan under senare halvan av (bet. 2016/17:JuU31). Användning av dash-cams och liknande kameror omfattas av förordningen men i regel inte av kameraövervakningslagen. Kamera- övervakning från drönare kan i och för sig undantas från svensk lagstiftning som kompletterar förordningen. I ett sådant fall om- fattas kameraövervakningen ändå av förordningens bestämmelser. Kameraövervakningslagen och den nya EU-regleringen Bedömning: Kameraövervakningslagens territoriella tillämpnings- område enligt 3 § är förenligt med förordningens territoriella tillämpningsområde enligt artikel 3. Bestämmelser om ett territoriellt tillämpningsområde för kameraövervakning som avviker från förordningens i begränsande riktning kan behållas eller införas i svensk lagstiftning som kompletterar förordningen. Anknytande bestämmelser om före- trädare för den som bedriver kameraövervakning som gör så- dana bestämmelser begripliga kan införas. Skälen för bedömningen: Förordningen är enligt artikel 3 tillämp- lig på behandling av personuppgifter inom ramen för verksamhet som bedrivs av en personuppgiftsansvarig – eller ett personupp- giftsbiträde – som är etablerad i EU, oavsett om behandlingen ut- förs inom unionen eller inte. Förordningen är också tillämplig på behandling av personupp- gifter som avser registrerade som befinner sig i unionen av en personuppgiftsansvarig – eller ett personuppgiftsbiträde – som inte är etablerad i unionen, om behandlingen har anknytning till utbjud- ande av varor eller tjänster till sådana registrerade eller till över- vakning av de registrerades beteende så länge beteendet sker inom unionen. I dessa fall ska enligt artikel 27 den personuppgiftsansva- rige eller personuppgiftsbiträdet skriftligen utse en företrädare i unionen. Företrädaren ska vara etablerad i en av de medlemsstater där de registrerade befinner sig. Företrädaren ska på den person- uppgiftsansvariges eller personuppgiftsbiträdets uppdrag fungera som kontaktperson för i synnerhet tillsynsmyndigheter och regi- strerade i alla frågor som har anknytning till behandlingen. Att en företrädare utsetts påverkar inte de rättsliga åtgärder som ska kunna inledas mot den personuppgiftsansvarige eller personuppgiftsbiträ- det. Skyldigheten att utse företrädare gäller bl.a. inte en offentlig myndighet eller ett offentligt organ. Slutligen är förordningen tillämplig på behandling av person- uppgifter som utförs av en personuppgiftsansvarig som inte är eta- blerad i unionen men på en plats där den nationella lagstiftningen i en medlemsstat gäller på grund av folkrätten. Kameraövervakningslagen och den nya EU-regleringen Begreppen personuppgiftsansvarig och personuppgiftsbiträde definieras i artikel 4. Enligt artikel 4.7 avses med personuppgifts- ansvarig en fysisk eller juridisk person, offentlig myndighet, insti- tution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av person- uppgifter. Med personuppgiftsbiträde avses enligt artikel 4.8 en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansva- riges räkning. Enligt 3 § första stycket kameraövervakningslagen gäller lagen vid kameraövervakning som sker med övervakningskameror som är uppsatta i , om den som bedriver övervakningen är etablerad i eller i tredjeland. Vidare gäller lagen vid behandling av bild- och ljudmaterial som tagits upp vid sådan övervakning, om behandlingen utförs av den som bedriver övervakningen eller för dennes räkning. Med tredjeland avses enligt 2 § en stat som varken ingår i EU eller är ansluten till Europeiska ekonomiska samarbets- området. Om den som bedriver övervakningen är etablerad i tredje- land, ska han eller hon enligt 3 § andra stycket utse en företrädare för sig som är etablerad i . Det som anges i kameraöver- vakningslagen om den som bedriver kameraövervakning gäller också för företrädaren. Vid en jämförelse mellan kameraövervakningslagen och förord- ningen kan konstateras att lagens territoriella tillämpningsområde delvis överensstämmer men är förenligt med förordningens terri- toriella tillämpningsområde enligt artikel 3. Bestämmelserna om före- trädare överensstämmer inte fullt ut. Artikel 3 kommer att gälla direkt i . Bestämmelser om ett territoriellt tillämpnings- område för kameraövervakning som avviker från förordningens i begränsande riktning kan behållas eller införas i svensk lagstiftning som kompletterar förordningen. Anknytande bestämmelser om företrädare för den som bedriver kameraövervakning som gör sådana bestämmelser begripliga kan införas. Kameraövervakningslagen och den nya EU-regleringen 7.1.7Laglig personuppgiftsbehandling och kameraövervakning Bedömning: Kameraövervakningslagens bestämmelser i 8–24 och 49 §§ om när kameraövervakning är tillåten är i huvudsak för- enliga med förordningens bestämmelser om när personuppgifts- behandling är laglig enligt artikel 6.1 och artiklarna 7–11. Bestämmelser om i vilka fall kameraövervakning är laglig som enbart upprepar eller som avviker från innehållet i förordningen kan inte behållas eller införas i svensk lagstiftning som komplet- terar förordningen. Skälen för bedömningen: I artikel 6.1 i förordningen finns en upp- räkning av i vilka fall personuppgiftsbehandlingar är lagliga, dvs. För att en behandling av personuppgifter ska vara laglig måste den alltså falla in under någon av de rättsliga grunder som anges i denna artikel. Det finns inte några skarpa gränser mellan de olika grunderna, vilket innebär att en behandling kan falla in under mer än en sådan grund. Dessa grunder är följande. a)Den registrerade har lämnat sitt samtycke till att hans eller hennes personuppgifter behandlas. b)Behandlingen är nödvändig för att fullgöra ett avtal. c)Behandlingen är nödvändig för att fullgöra en rättslig förplikt- else som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning. Enligt skäl 45 i ingressen till förordningen ute- sluts inte att även andra än myndigheter kan ha sådana uppgifter. Kameraövervakningslagen och den nya EU-regleringen f)Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter. Detta gäller inte för behandling som utförs av offentliga myn- digheter när de fullgör sina uppgifter. I artiklarna 7–11 finns ytterligare bestämmelser om när behandling av personuppgifter är tillåten. Av dessa är artiklarna 9 och 10 av visst intresse. I artikel 9.1 finns ett förbud mot behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och mot behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Bio- metriska uppgifter definieras i artikel 4.14 som uppgifter som er- hållits genom en teknisk behandling avseende en persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör identifiering av personen. Av skäl 51 i ingressen till förordningen framgår att behandling av foton inte systematiskt omfattas, efter- som foton endast definieras som biometriska uppgifter när de be- handlas med särskild teknik som möjliggör identifiering eller autenti- sering av en fysisk person. I artikel 9.2–9.4 finns ett antal undantag från förbudet mot behand- ling. Exempelvis får behandling ske om den registrerade uttryck- ligen har lämnat sitt samtycke till denna eller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval av unionsrätten eller en medlemsstats nationella rätt. Sådana känsliga uppgifter som omfattas av förbudet i artikel 9.1 kan i och för sig samlas in genom kameraövervakning. Artikelns förbud måste anses gälla när kameraövervakningen sker enbart på grund av de avbildade personernas ras eller etniska ursprung etc. Bilder på människor i mer ”normala” sammanhang kan inte anses avslöja några känsliga personuppgifter. Så har dataskydds- direktiv uppfattats på kameraövervakningsområdet (jfr även SOU 1997:39 s. 371 och artikel 29-gruppens – en arbetsgrupp som inrättats enligt dataskyddsdirektiv – Opinion 4/2004 on the Processing of by means of Video , s. 24). Kameraövervakningslagen och den nya EU-regleringen Vidare finns i artikel 10 bestämmelser som avser fällande domar och lagöverträdelser. Enligt artikeln får behandling av personupp- gifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt där lämp- liga skyddsåtgärder för de registrerades rättigheter och friheter fast- ställs. Det som avses med termen överträdelser måste med hänsyn till sammanhanget anses avse överträdelser som innefattar brott. Det är inte helt klart i vilken utsträckning uppgifter som rör miss- tankar om brott omfattas. Uppgifter om faktiska iakttagelser av en persons handlande bör rimligen inte anses som uppgifter om brott (jfr a. SOU s. 383). Artikeln får därför förstås så att den inte tar sikte på sådana möjliga lagöverträdelser som kan fångas på bild vid kameraövervakning. Enligt förordningen finns det inte något utrymme för medlems- staterna att göra undantag från de rättsliga grunderna i artikel 6.1. har i ett avgörande som gällde motsvarande artikel dataskyddsdirektiv uttalat att medlemsstaterna varken får foga ytterligare principer för tillåtligheten av behandlingen av person- uppgifter till dem som nämns i artikeln eller får föreskriva ytter- ligare villkor som påverkar räckvidden av artikelns principer (dom ASNEF och FECEMED, förenade målen C-468/10 och C-469/10, EU:C:2011:777). Det är alltså inte möjligt att i nationell rätt gene- rellt ange att viss personuppgiftsbehandling endast får ske i enlig- het med någon eller några av grunderna i artikel 6.1. I 8–24 och 49 §§ kameraövervakningslagen finns flera bestämmelser som anger när kameraövervakning är tillåten och ett antal därtill anknytande bestämmelser Som huvudregel gäller att det krävs till- stånd till kameraövervakning av platser dit allmänheten har tillträde och att ett sådant ska ges om intresset av övervakning väger tyngre än den enskildes intresse av att inte bli övervakad. Vid bedöm- ningen av intresset av kameraövervakning ska det särskilt beaktas om övervakningen behövs för att förebygga, avslöja eller utreda brott, förhindra olyckor eller för andra därmed jämförliga ändamål. På platser dit allmänheten inte har tillträde får kameraövervakning ske antingen efter samtycke från den som ska övervakas eller efter en intresseavvägning där intresset av att övervaka för att förebygga, avslöja eller utreda brott, förhindra olyckor eller för att tillgodose Kameraövervakningslagen och den nya EU-regleringen andra berättigade ändamål väger tyngst. Därutöver finns bestäm- melser om helt eller delvis tillståndsfri kameraövervakning och kameraövervakning efter anmälan. Kameraövervakningslagens bestämmelser är i huvudsak fören- liga med förordningens bestämmelser om när personuppgiftsbehand- ling är laglig enligt artikel 6.1 och artiklarna 7–11. Kameraöver- vakning enligt lagen kan exempelvis grundas på samtycke från dem som övervakas. Det gäller emellertid bara på platser dit allmänheten inte har tillträde. Vidare kan, som närmare kommer att utvecklas i nästa avsnitt, de statliga och kommunala myndigheternas kameraövervakning omfattas av artikel 6.1 e, eftersom myndigheternas verksamhet är att betrakta som myndighetsutövning eller i vart fall som uppgifter av allmänt intresse i den mening som avses i artikeln. Detsamma gäller för kameraövervakning som bedrivs av andra än myndigheter vid utförandet av vissa uppgifter som också kan sägas vara av all- mänt intresse. Sådan kameraövervakning kan ske efter en intresse- avvägning enligt lagen, ibland med och ibland utan krav på tillstånd. I andra fall kan kameraövervakning vara tillåten enligt kamera- övervakningslagen efter en intresseavvägning som i delar liknar den avvägning mellan intresset av övervakning och den enskildes inte- gritetsintresse som anges i artikel 6.1 f. Beroende på platsen för övervakningen kan tillstånd krävas. I ytterligare andra fall gäller en anmälningsplikt och i de fallen föreskrivs i lagen inte någon särskild intresseavvägning. Bestämmelser om i vilka fall kameraövervakning är laglig som enbart upprepar eller som avviker från innehållet i förordningen kan inte behållas eller införas i svensk lagstiftning som komplet- terar förordningen. Frågan berörs ytterligare i nästa avsnitt. Huru- vida en svensk lagstiftning kan innehålla ett krav på tillstånd eller anmälan för att kameraövervakning ska få ske behandlas också i nästa avsnitt. Kameraövervakningslagen och den nya EU-regleringen 7.1.8Utrymme för svensk lagstiftning om tillståndskrav m.m. vad gäller uppgifter av allmänt intresse Bedömning: Svensk lagstiftning som kompletterar förordningen kan med stöd av artiklarna 6.2, 6.3 och 36.5 i förordningen inne- hålla detaljerade bestämmelser för sådan kameraövervakning som sker som ett led i myndighetsutövning eller för att utföra en uppgift av allmänt intresse men inte för kameraövervakning i övrigt. Lagstiftningen kan exempelvis innehålla ett krav på till- stånd för att kameraövervakning ska få ske vid utförandet av en sådan uppgift. Utrymme för nationell reglering när personuppgiftsbehandling sker för att utföra en uppgift av allmänt intresse Av det föregående avsnittet framgår att personuppgiftsbehandling är laglig enligt artikel 6.1 e i förordningen när behandlingen är nöd- vändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. När denna rätts- liga grund är aktuell gäller vissa ytterligare bestämmelser i förord- ningen. Enligt artikel 6.2 får en medlemsstat behålla eller införa mer speci- fika nationella bestämmelser för att efterleva bl.a. artikel 6.1 e. Med- lemsstaten kan fastställa särskilda krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behand- ling. Av artikel 6.3 följer att grunden för behandling enligt arti- kel 6.1 e ska fastställas i unionsrätten eller nationell rätt. Syftet med behandlingen ska vara nödvändigt för att utföra uppgiften eller som ett led i myndighetsutövningen. Vidare kan nationell rätt innehålla särskilda bestämmelser om bl.a. allmänna villkor för behandlingen, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka uppgifter får lämnas ut, ändamåls- begränsningar, lagringstid samt typer av behandling och förfaran- den för behandling. Dessutom är artiklarna 35 och 36, som även behandlas i av- snitt 7.1.11, av relevans i sammanhanget. Kameraövervakningslagen och den nya EU-regleringen Enligt artikel 35 ska en personuppgiftsansvarig i vissa fall göra en konsekvensbedömning innan en behandling av personuppgifter får ske. Av artikeln följer att om en typ av behandling – särskilt med användning av ny teknik och med beaktande av dess art, om- fattning, sammanhang och ändamål – sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, ska den person- uppgiftsansvarige före behandlingen utföra en bedömning av behand- lingens konsekvenser för skyddet av personuppgifter. En bedöm- ning kan omfatta en serie liknande behandlingar som medför lik- nande höga risker. En konsekvensbedömning ska göras bl.a. när det är fråga om systematisk övervakning av en allmän plats i stor skala. I skäl 71 i ingressen anges som exempel på sådan övervakning användning av optisk-elektroniska anordningar. När en konsekvensbedömning visar att behandlingen skulle leda till en hög risk för fysiska personers rättigheter och friheter, om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken, ska enligt artikel 36.1 den personuppgiftsansvarige samråda med tillsynsmyndigheten före behandlingen. Om tillsynsmyndigheten anser att behandlingen skulle strida mot förordningen, ska myndig- heten enligt artikel 36.2 ge den personuppgiftsansva- rige skriftliga råd. Vidare får myndigheten använda sig av befogen- heter som den har enligt artikel 58 i förordningen. Exempelvis kan tillsynsmyndigheten utfärda varning eller införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, en behandling. ska enligt artikel 35.4 upprätta en förteckning över behandlingsverksamheter som omfattas av kravet på konse- kvensbedömning. Myndigheten får vidare enligt artikel 35.5 även upprätta en förteckning över behandlingsverksamheter som inte kräver någon sådan bedömning. Dessa artiklar innebär att vid vissa typer av personuppgifts- behandlingar som omfattas av förordningen, men inte alla, ska en konsekvensbedömning göras och eventuellt följas av ett samråd, som i sin tur kan följas av t.ex. ett förbud mot behandlingen från tillsynsmyndighetens sida. Enligt artikel 35.10 finns dock en möjlighet att i nationell rätt göra undantag från kravet på att utföra en konsekvensbedömning avseende bl.a. behandlingar enligt artikel 6.1 e. Därmed faller också det krav på samråd som baseras på en sådan bedömning. Detta gäller när en sådan behandling har en rättslig grund i medlems- Kameraövervakningslagen och den nya EU-regleringen statens nationella rätt och den rätten reglerar den aktuella behand- lingsåtgärden – eller serien av åtgärder – samt en konsekvens- bedömning avseende dataskydd redan har gjorts i samband med införandet av den nationella regleringen. Vidare följer av artikel 36.5 att, oaktat vad som sägs i artikel 36.1 om samråd – som baseras på en konsekvensbedömning som utvisat en hög risk i det enskilda fallet – får en medlemsstat i sin nationella rätt kräva att personuppgiftsansvariga ska samråda med och erhålla förhandstillstånd av tillsynsmyndigheten när det gäller en behand- ling för utförandet av en uppgift som den personuppgiftsansvarige utför av allmänt intresse. Artikeln innebär att en medlemsstat kan föreskriva en generell samråds- och tillståndsplikt. En sådan gäller då alla behandlingar som omfattas av föreskriften och inte endast behandlingar där det i det enskilda fallet konstateras finns en hög risk för fysiska personers rättigheter och friheter. Möjligheten att föreskriva krav på samråd och tillstånd i nationell rätt är dock begränsad till vissa av de fall som annars omfattas av artiklarna 35 och 36, nämligen till personuppgiftsbehandlingar som sker vid utförande av uppgifter av allmänt intresse.