sou · H5B355 · 2017-06-16 00:00:00 — Vidare ska den personuppgiftsansvarige göra åtminstone följande information tillgänglig för den registrerade. a)Den personuppgiftsansvariges identitet och kontaktuppgifter. b)Dataskyddsombudets kontaktuppgifter, i tillämpliga fall. c)Ändamålen med den behandling för vilken personuppgifterna är avsedda. d)Rätten att lämna in klagomål till en tillsynsmyndighet samt till- synsmyndighetens kontaktuppgifter. e)Rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter och begränsning av behandlingen av personuppgifter som rör den registrerade. Att informationen ska göras tillgänglig får förstås så att informa- tionen inte faktiskt måste lämnas till varje enskild registrerad. Stöd för denna bedömning finns i skäl 42 i ingressen till direktivet där det anges att informationen kan lämnas på den behöriga myndig- hetens webbplats. Därutöver ska den personuppgiftsansvarige i specifika fall lämna viss ytterligare information till den registrerade för att göra det möjligt för honom eller henne att utöva sina rättigheter. Det gäller bl.a. information om behandlingens rättsliga grund och den period under vilken personuppgifterna kommer att lagras. Det är dock möjligt att under vissa förutsättningar begränsa rätten till denna information. Enligt 25 § kameraövervakningslagen gäller som huvudregel en upplysningsplikt vid all kameraövervakning som omfattas av lagen. Kameraövervakningslagen och den nya EU-regleringen Upplysning om kameraövervakning ska lämnas genom tydlig skylt- ning eller på något annat verksamt sätt. Upplysning ska också lämnas om vem som bedriver kameraövervakningen, om detta inte framgår av förhållandena på platsen. Om ljud kan avlyssnas eller tas upp vid övervakningen, ska det lämnas en särskild upplysning om detta. Upplysningsplikten inträder när övervakningsutrustningen sätts upp. Den som bedriver övervakningen ska enligt 26 § på begäran även informera den övervakade om ändamålet med över- vakningen. I vissa i 27 § angivna fall behöver det inte lämnas någon upplysning. Kameraövervakningslagens upplysningsplikt ligger i linje med direktivets reglering om information enligt artiklarna 12 och 13 men överensstämmer inte helt med denna. Direktivet innehåller vidare i artiklarna 14–17 bestämmelser om den registrerades rätt att få tillgång till personuppgifter och att få uppgifter rättade, kompletterade eller raderade samt bestämmelser om begränsning av behandling, t.ex. när den registrerade bestrider uppgifternas korrekthet och denna inte kan fastställas. Vissa av dessa rättigheter kan inskränkas, t.ex. om syftet är undvika menlig in- verkan på förebyggande, förhindrande, upptäckt, utredning eller lagföring av brott eller om syftet är att skydda den allmänna säker- heten eller andra personers rättigheter och friheter. Kameraövervakningslagen innehåller inte några bestämmelser som uttryckligen ger den övervakade rätt att få tillgång till person- uppgifter i form av bild- eller ljudmaterial från kameraövervakning. I lagens 37 § finns en bestämmelse om tystnadsplikt och utläm- nande av uppgifter. Bestämmelsen och bestämmelser om utlämnande av uppgifter i offentlighets- och sekretesslagen (2009:400) har be- handlats i avsnitt 7.1.10. Slutligen kan det konstateras att rättigheterna enligt direktivet är fler än vad som följer av kameraövervakningslagen, som t.ex. saknar bestämmelser om rätt till rättelse eller radering. Sammanfattningsvis görs bedömningen att kameraövervaknings- lagens upplysningsplikt i huvudsak är förenlig med direktivets rättig- heter för registrerade och möjligheter att begränsa dessa rättig- heter. Bestämmelserna om tystnadsplikt och utlämnande av uppgifter i kameraövervakningslagen och i offentlighets- och sekretesslagen är förenliga med direktivet. Rättigheterna enligt direktivet är fler än vad som följer av lagen. En svensk lagstiftning som omfattar kamera- Kameraövervakningslagen och den nya EU-regleringen övervakning måste innehålla bestämmelser om rättigheter för regi- strerade eller om undantag från rättigheterna som uppfyller direk- tivets krav. 7.2.6Skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden Bedömning: Kameraövervakningslagens skyldigheter avseende säkerhet vid kameraövervakning enligt 30 och 31 §§ överens- stämmer med direktivets motsvarande skyldigheter för person- uppgiftsansvariga och personuppgiftsbiträden enligt artiklarna 19– 34. Skyldigheterna enligt direktivet är fler än vad som följer av lagen. De innefattar inte något generellt krav på tillstånd eller anmälan men innebär bl.a. att en konsekvensbedömning ska göras och ett samråd med tillsynsmyndigheten ska ske i vissa fall. Ett tillståndskrav får dock ställas upp i svensk rätt med stöd av arti- kel 1.3. En svensk lagstiftning som omfattar kameraövervakning måste innehålla bestämmelser om skyldigheter för personuppgiftsansva- riga och personuppgiftsbiträden som uppfyller direktivets krav. Lagstiftningen kan vidare innehålla t.ex. ett krav på tillstånd. Kapitel IV i direktivet, artiklarna 19–34, innehåller långtgående skyl- digheter för personuppgiftsansvariga och personuppgiftsbiträden. Begreppen personuppgiftsansvarig och personuppgiftsbiträde defi- nieras i artikel 4. I kapitlet finns bestämmelser om allmänna skyldig- heter, t.ex. om inbyggt dataskydd och dataskydd som standard, be- handling av personuppgifter på en personuppgiftsansvarigs vägnar, förande av register, loggning, samarbete med tillsynsmyndigheten samt konsekvensbedömning och samråd med tillsynsmyndigheten. Slutligen innehåller kapitlet bestämmelser om säkerhet för person- uppgifter och om dataskyddsombud. Av intresse i detta sammanhang är främst de artiklar som be- handlas i de följande avsnitten. Kameraövervakningslagen och den nya EU-regleringen Skyldigheter avseende säkerhet vid personuppgiftsbehandling Artiklarna 19–23 och 29 innehåller relativt detaljerade bestämmel- ser om säkerhet vid behandling av personuppgifter och om vad som gäller när behandling av personuppgifter ska genomföras på en personuppgiftsansvarigs vägnar. Bestämmelserna överensstämmer i huvudsak med motsvarande artiklar i förordningen, som behandlats i avsnitt 7.1.11. Även i kameraövervakningslagen finns skyldigheter avseende säkerhet vid behandling av personuppgifter i 30 och 31 §§. Där föreskrivs bl.a. att den som bedriver kameraövervakning ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda bild- och ljudmaterial från övervakningen. Vidare anges vad som gäller om någon bedriver kameraövervakning för någon annans räkning. Som framgått av avsnitt 7.1.11 har kameraövervakningslagens skyldigheter avseende säkerhet vid kameraövervakning bedömts överensstämma med förordningens motsvarande skyldigheter. Samma bedömning görs vad gäller hur lagen förhåller sig till direktivets skyldigheter. Skyldigheterna enligt direktivet är dock, liksom skyldig- heterna enligt förordningen, fler än vad som följer av lagen. En svensk lagstiftning som omfattar kameraövervakning måste innehålla bestämmelser om skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden som uppfyller direktivets krav. Skyldigheter att göra en konsekvensbedömning och samråda I artiklarna 27 och 28 finns bestämmelser om skyldighet att göra en konsekvensbedömning och skyldighet att samråda med tillsynsmyn- digheten. Av artikel 27 följer att om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfatt- ning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, ska medlemsstaterna säker- ställa att den personuppgiftsansvarige, eller personuppgiftsbiträdet, före behandlingen utför en bedömning av dess konsekvenser för skyddet av personuppgifter. Enligt artikel 28 ska medlemsstaterna föreskriva att den person- uppgiftsansvarige i vissa fall ska samråda med tillsynsmyndigheten före en behandling av personuppgifter som kommer att ingå i ett Kameraövervakningslagen och den nya EU-regleringen nytt register som ska inrättas. Det gäller när en konsekvens- bedömning visar att behandlingen skulle leda till en hög risk – om inte den registeransvarige vidtar åtgärder för att minska risken – eller när typen av behandling, särskilt vid användning av ny teknik eller nya rutiner eller förfaranden medför en hög risk för de regi- strerades rättigheter och friheter. Enligt artikel 28 ska medlemsstaterna vidare föreskriva att om tillsynsmyndigheten anser att den planerade behandlingen inte skulle vara förenlig med de bestämmelser som antas i enlighet med direk- tivet, ska tillsynsmyndigheten inom visst tid ge den personuppgifts- ansvarige skriftliga råd. Vidare får tillsynsmyndigheten utnyttja alla de befogenheter som den har enligt artikel 47, bl.a. förbjuda be- handlingen. Av artikel 1.3 följer att direktivet inte hindrar medlemsstaterna från att föreskriva starkare skyddsåtgärder än de som fastställs i direktivet för skyddet av den registrerades rättigheter och friheter med avseende på behöriga myndigheters behandling av personupp- gifter. I kameraövervakningslagen finns inte några motsvarigheter till skyldigheterna enligt direktivet att i vissa fall göra en konsekvens- bedömning och, beroende på utfallet av bedömningen, samråda med tillsynsmyndigheten. Skyldigheten att samråda med tillsynsmyn- digheten enligt direktivet gäller endast om personuppgifterna ska ingå i ett nytt register. Merparten av sådant material som spelas in vid kameraövervakning kommer inte ingå i ett register i direktivets mening (jfr artikel 3.6 och avsnitt 7.1.3). Någon skyldighet att sam- råda enligt artikel 28 inför bedrivandet av kameraövervakning gäller därmed normalt inte. Det ska dock noteras att Utredningen om 2016 års dataskyddsdirektiv har föreslagit en samlad reglering om skyldighet att göra konsekvensbedömning och samråda som inte knyter an endast till registerfallen. Direktivets skyldigheter inne- fattar inte något generellt krav på tillstånd eller krav på anmälan av det slag som finns i kameraövervakningslagen. Ett tillståndskrav får dock ställas upp i svensk rätt med stöd av artikel 1.3. En svensk lagstiftning som omfattar kameraövervakning måste innehålla bestäm- melser om skyldigheter för personuppgiftsansvariga och person- uppgiftsbiträden som uppfyller direktivets krav. Lagstiftningen kan vidare innehålla t.ex. ett krav på tillstånd. Kameraövervakningslagen och den nya EU-regleringen 7.2.7Överföring till tredjeland eller internationella organisationer Bedömning: Kameraövervakningslagens bestämmelser i 34–36 §§ om överföring av bild- och ljudmaterial till tredjeland överens- stämmer delvis med direktivets bestämmelser om överföring av personuppgifter till tredjeländer eller internationella organisa- tioner enligt artiklarna 35–40. En svensk lagstiftning som omfattar kameraövervakning måste innehålla bestämmelser om överföring som uppfyller direktivets krav. Skälen för bedömningen: I kapitel V i direktivet, artiklarna 35–40, finns bestämmelser om överföring av personuppgifter till tredje- länder eller internationella organisationer. Bestämmelserna motsvarar i stort bestämmelserna om sådan överföring i förordningen, se av- snitt 7.1.13. I 34–36 §§ kameraövervakningslagen finns vissa bestämmelser om överföring till tredjeland av bild- och ljudmaterial från kamera- övervakning som innehåller personuppgifter. Även vissa bestäm- melser i personuppgiftsförordningen (1998:1191) är av intresse. Dessa bestämmelser har redovisats i avsnitt 7.1.13. Där har bedömningen gjorts att bestämmelserna delvis överensstämmer med förordningens bestämmelser om överföring. Samma bedömning görs vad gäller hur lagens bestämmelser förhåller sig till direktivets bestämmelser. En svensk lagstiftning som omfattar kameraövervakning måste inne- hålla bestämmelser om överföring som uppfyller direktivets krav. Bedömning: Kameraövervakningslagens bestämmelser i 38–43 §§ om tillsyn överensstämmer delvis med direktivets bestämmelser om tillsyn och samarbete mellan tillsynsmyndigheter enligt artik- larna 41–51. Direktivets bestämmelser är mer omfattande än lagens. En svensk lagstiftning som omfattar kameraövervakning måste innehålla bestämmelser om tillsyn som uppfyller direktivets krav. Kameraövervakningslagen och den nya EU-regleringen Skälen för bedömningen: I kapitel VI i direktivet, artiklarna 41– 49, finns bestämmelser om tillsyn. Av artiklarna 41 och 42 följer att medlemsstaterna ska utse en eller flera självständiga tillsynsmyndig- heter som ska ansvara för att övervaka tillämpningen av direktivet. Medlemsstaterna får föreskriva att en tillsynsmyndighet som har inrättats enligt förordningen ska vara tillsynsmyndighet även enligt direktivet. I artiklarna 43 och 44 finns bestämmelser om inrättandet av tillsynsmyndigheten och om dess ledamöter. I artiklarna 45–49 regleras myndighetens behörighet, uppgifter och befogenheter, så- väl undersökningsbefogenheter som korrigerande befogenheter. Bestämmelserna motsvarar i stort bestämmelserna om tillsyn i förordningen, se avsnitt 7.1.14. Vidare finns i kapitel VII i direktivet, artiklarna 50 och 51, bestäm- melser som förpliktar en nationell tillsynsmyndighet att samarbeta med och assistera tillsynsmyndigheterna i andra medlemsstater. Dessutom ska nämnas att artikel 1.3 i direktivet tillåter en med- lemsstat att föreskriva starkare skyddsåtgärder än de som fastställs i direktivet. Även i kameraövervakningslagen finns i 38–43 §§ vissa bestäm- melser om tillsyn. Till dessa anknyter bestämmelser i kameraöver- vakningsförordningen (2013:463). Innehållet i dessa bestämmelser har beskrivits i avsnitt 7.1.14. Där har bedömningen gjorts att bestämmelserna endast delvis överensstämmer med förordningens bestämmelser om tillsyn och samarbete mellan tillsynsmyndigheter. Samma bedömning görs vad gäller hur bestämmelserna i lagen och dess förordning förhåller sig till direktivets bestämmelser. Direk- tivets bestämmelser är dessutom mer omfattande än lagens. En svensk lagstiftning som omfattar kameraövervakning måste innehålla be- stämmelser om tillsyn som uppfyller direktivets krav. 7.2.9Rättsmedel, ansvar och sanktioner m.m. Bedömning: Kameraövervakningslagens bestämmelser i 44–48 §§ om överklagande, skadestånd och straffansvar överensstämmer delvis med direktivets bestämmelser om rättsmedel, ansvar och sanktioner enligt artiklarna 52–57. Direktivets bestämmelser är mer omfattande än lagens. Kameraövervakningslagen och den nya EU-regleringen En svensk lagstiftning som omfattar kameraövervakning måste innehålla bestämmelser om rättsmedel, ansvar och sanktioner som uppfyller direktivets krav. Skälen för bedömningen: I kapitel VIII i direktivet, artiklarna 52– 57, finns bestämmelser om rättsmedel, ansvar och sanktioner. Be- stämmelserna motsvarar i stort bestämmelserna om rättsmedel, ansvar och sanktioner i förordningen, se avsnitt 7.1.12. En registrerad ska ha rätt att framföra klagomål hos tillsyns- myndigheten. Vidare ska fysiska och juridiska personer ha rätt till ett effektivt rättsmedel både mot tillsynsmyndighetens beslut och direkt mot en personuppgiftsansvarig eller ett personuppgiftsbiträde. Dessutom ska den som har lidit materiell eller immateriell skada till följd av en överträdelse av direktivet ha rätt till ersättning av den personuppgiftsansvarige, eller personuppgiftsbiträdet, under vissa förutsättningar. Medlemsstaterna ska föreskriva effektiva, proportio- nella och avskräckande sanktioner för överträdelser av direktivet. I 44–48 §§ kameraövervakningslagen finns vissa bestämmelser om överklagande, skadestånd och straffansvar. Innehållet i dessa har beskrivits i avsnitt 7.1.12. Där har bedömningen gjorts att bestämmelserna endast delvis överensstämmer med förordningens bestämmelser om rättsmedel, ansvar och sanktioner. Samma bedöm- ning görs vad gäller hur lagens bestämmelser förhåller sig till bestäm- melserna i direktivet. Direktivets bestämmelser är dessutom mer omfattande än lagens. En svensk lagstiftning som omfattar kamera- övervakning måste innehålla bestämmelser om rättsmedel, ansvar och sanktioner som uppfyller direktivets krav. Bedömning: Direktivet, som ska genomföras i svensk rätt, inne- håller krav som endast delvis uppfylls av kameraövervaknings- lagens bestämmelser. En svensk lagstiftning som omfattar kamera- övervakning måste fullt ut uppfylla de krav som följer av direk- tivet. Kameraövervakningslagen och den nya EU-regleringen Skälen för bedömningen: Av avsnitten ovan har framgått att kamera- övervakning kan utgöra behandling av personuppgifter som omfattas av tillämpningsområdet för direktivet. Vidare har framgått att direk- tivet ska genomföras i svensk rätt och att svenska bestämmelser som omfattar sådan kameraövervakning som faller in under direk- tivets tillämpningsområde måste uppfylla direktivets krav. Som också framgått innehåller direktivet krav som endast delvis uppfylls av kameraövervakningslagens bestämmelser. En svensk lagstiftning som omfattar kameraövervakning måste fullt ut uppfylla de krav som följer av direktivet. 7.3Kameraövervakning som inte omfattas av EU-regleringen Bedömning: Sådan kameraövervakning som inte omfattas av för- ordningens och direktivets tillämpningsområden kan i och för sig regleras i svensk rätt utan beaktande av EU-regleringen. Skälen för bedömningen: Som redan har framgått ovan finns det personuppgiftsbehandling som faller utanför den nya EU-regleringen. Det gäller behandling som helt faller utanför unionsrätten och behandling som medlemsstaterna utför när de bedriver verksamhet som omfattas av EU:s gemensamma utrikes- och säkerhetspolitik, se avsnitt 7.1.4 och 7.2.3. Detta innebär att kameraövervakning som sker främst i det svenska försvarets verksamhet och Säkerhetspolisens verksamhet normalt inte omfattas av förordningens och direktivets tillämpnings- områden. Sådan kameraövervakning kan i och för sig regleras i svensk rätt utan beaktande av EU-regleringen. 8Vad gäller utan särskilda bestämmelser om kameraanvändning? För förståelsen av övervägandena i de kommande avsnitten redo- visas nedan översiktligt vad den nya dataskyddsförordningen och det nya dataskyddsdirektivet samt den nya lagstiftning som de i avsnitt 2 nämnda utredningarna och Utred- ningen om 2016 års dataskyddsdirektiv föreslagit innebär för kamera- användning, om särskilda svenska bestämmelser för sådan använd- ning inte ska gälla framöver. Förordningen kommer att gälla direkt i och ska börja tillämpas . har föreslagit en ny generell lag som ska komplettera förordningen, lagen med kompletterande bestämmelser till EU:s dataskyddsför- ordning, nedan kallad dataskyddslagen. Dessutom har föreskrifter till lagen föreslagits. Lagen ska träda i kraft som för- ordningen ska börja tillämpas. Bestämmelserna i förordningen och dataskyddslagen och dess föreskrifter ska – i den mån särskilda bestämmelser för kameraanvändning inte införs – tillämpas på sådan kameraanvändning som utgör personuppgiftsbehandling och som i övrigt faller in under den regleringens tillämpningsområde. Utredningen om 2016 års dataskyddsdirektiv har föreslagit att direktivet i huvudsak genomförs genom en ny generell lag, benämnd brottsdatalagen. Lagen ska träda i kraft . Dessutom har föreskrifter till lagen föreslagits. Bestämmelserna i brottsdata- lagen och dess föreskrifter ska – i den mån särskilda bestämmelser för kameraanvändning inte införs – tillämpas på sådan kamera- Vad gäller utan särskilda bestämmelser om kameraanvändning? användning som utgör personuppgiftsbehandling och som i övrigt faller in under den regleringens tillämpningsområde. Därutöver kommer bestämmelser i s.k. registerförfattningar att gälla i den mån de kan tillämpas på kameraanvändning. Sådana för- fattningar är nu föremål för översyn med anledning av den nya dataskyddsregleringen. 8.2Kameraanvändning som omfattas av förordningen och dataskyddslagen Förordningens och dataskyddslagens tillämpningsområde Förordningen gäller för behandling av personuppgifter som helt eller delvis företas på automatiserad väg samt för annan behandling än automatiserad av personuppgifter som ingår i eller kommer att ingå i ett register. Med personuppgifter avses varje upplysning som avser en identifierad eller identifierbar fysisk person, en s.k. regi- strerad. Med identifierbar avses att en person direkt eller indirekt kan identifieras genom t.ex. namn eller en eller flera faktorer som är specifika för den personens fysiska, fysiologiska, genetiska, psy- kiska, ekonomiska, kulturella eller sociala identitet. Med behand- ling avses en åtgärd eller kombination av åtgärder beträffande per- sonuppgifter – oberoende av om de utförs automatiserat eller inte – såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utläm- ning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller för- störing. Förordningen omfattar personuppgiftsbehandling, däribland ka- meraanvändning, som utförs av både offentligrättsliga och privat- rättsliga subjekt med några undantag, t.ex. för behandling i Polis- myndighetens brottsbekämpande verksamhet, som i stället omfattas av direktivet och brottsdatalagen, se nedan. Enligt dataskyddslagen ska dessutom, om inte annat föreskrivs, förordningen och lagen gälla vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten, t.ex. i verksamhet som rör nationell säkerhet, och i verksamhet som omfattas av EU:s gemensamma utrikes- och säkerhetspolitik. Vad gäller utan särskilda bestämmelser om kameraanvändning? Förordningen kan alltså omfatta t.ex. användning av handhållna kameror eller kameror på drönare och i bilar men även användning av kameror som är monterade på fasta geografiska platser såsom byggnader o. dyl. Den gäller när kameraanvändningen sker av myn- digheter, bolag, föreningar och andra juridiska personer samt fysiska personer. Den omfattar dock inte en fysisk persons kameraanvänd- ning när användningen sker som ett led i en verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. I dataskyddslagen finns en upplysningsbestämmelse som tydlig- gör att bestämmelserna i förordningen och lagen inte ska tillämpas i den utsträckning det skulle strida mot svenska grundlagsbestäm- melser om tryck- och yttrandefrihet. Utanför det grundlagsskyddade området ska vidare gälla ett undantag från förordningen för sådan behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Vissa av förordningens bestämmelser, bl.a. de som rör säkerhet för person- uppgifter, ska dock tillämpas i dessa fall. Förordningen hindrar inte att tryckfrihetsförordningens reglering om allmänhetens tillgång till handlingar kan fortsätta att tillämpas även när det gäller allmänna handlingar som innehåller personuppgifter. Rättslig grund och principer för behandling av personuppgifter För att kameraanvändning som utgör personuppgiftsbehandling som träffas av förordningen ska få ske måste den vara laglig enligt någon av de grunder som räknas upp i förordningen. Enligt upp- räkningen är kameraanvändning laglig, t.ex. –om den som ska bli föremål för fotografering eller filmning har lämnat sitt samtycke, –om kameraanvändningen är nödvändig för att fullgöra ett avtal, –om kameraanvändningen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den som vill använda kameran, –om kameraanvändningen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den ansvariges myndig- hetsutövning, eller Vad gäller utan särskilda bestämmelser om kameraanvändning? –om kameraanvändningen är nödvändig för ändamål som rör den ansvariges eller en tredje parts berättigade intressen, om inte den fotograferade eller filmade personens intressen eller grundlägg- ande rättigheter och friheter väger tyngre.