sou · H5B355 · 2017-06-16 00:00:00 — Nedan redovisas därför kortfattat denna utrednings uppdrag och uppdragen till dem av de andra utredningarna som varit av störst betydelse för denna utredning. De bedömningar som gjorts och de förslag som lämnats av dessa utredningar redovisas i rele- vanta delar i de avsnitt i detta betänkande som innehåller över- väganden och förslag. I avsnitt 8 lämnas dessutom en allmän beskriv- ning av vad som skulle gälla för kameraanvändning om någon sär- skild lagstiftning på området inte skulle finnas framöver. I den beskrivningen redogörs för vissa förslag som lämnats av de nämnda utredningarna. Utredningens uppdrag och arbete – brottsbekämpning och integritet Denna utredning, Utredningen om kameraövervakning – brotts- bekämpning och integritetsskydd, har utrett vissa frågor om kamera- övervakning (dir. 2015:125 och 2016:54) i syfte att säkerställa att kameraövervakning kan användas där det behövs för att bekämpa brott och garantera ett starkt skydd för den personliga integriteten. –analyserat hur regleringen i kameraövervakningslagen (2013:460) bör anpassas till den nya EU-rättsliga dataskyddsregleringen, –kartlagt och utvärderat vad kameraövervakningslagen inneburit för möjligheterna till kameraövervakning och skyddet för den personliga integriteten, –analyserat om möjligheterna till kameraövervakning på särskilt brottsutsatta platser och andra platser med förhöjt skyddsbehov, t.ex. asylboenden, medieredaktioner och lokaler som används av religiösa samfund, behöver förbättras, –undersökt hur lagens tillämpningsområde förhåller sig till använd- ning av ny teknik, såsom t.ex. kamerautrustade drönare, –tagit ställning till om integritetsskyddet på vissa platser dit all- mänheten inte har tillträde, t.ex. arbetsplatser och skolor, be- höver förbättras, och –analyserat om integritetsskyddet kan förstärkas genom att Data- inspektionen ges föreskriftsrätt när det gäller tillämpningen av kameraövervakningslagen. Utredningen har inte haft i uppdrag att överväga och föreslå ändringar i bestämmelser om s.k. hemlig kameraövervakning enligt rättegångs- balken eller lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott. Utredningens uppdrag och arbete Utredningen om dataskyddsförordningen (dir 2016:15), som tagit sig namnet , har haft i uppdrag att föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som förordningen ger anledning till. Syftet har varit att säkerställa att det finns en ändamålsenlig och välbalanserad kompletterande nationell reglering om personuppgiftsbehandling på plats när förordningen börjar tillämpas. –undersökt vilka kompletterande nationella föreskrifter, exempel- vis processuella bestämmelser, som förordningen kräver, –analyserat vilka bestämmelser om administrativa sanktionsavgifter och andra sanktioner som behöver eller bör införa, och –undersökt om det finns behov av generella bestämmelser för personuppgiftsbehandling utanför tillämpningsområde. har redovisat sitt uppdrag i be- tänkandet Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). Utredningen har bl.a. föreslagit en ny lag, dataskyddslagen, som ska komplettera förordningen. 2.1.4Utredningen om 2016 års dataskyddsdirektiv Utredningen om genomförande av dataskyddsdirektivet (dir 2016:21), som tagit sig namnet Utredningen om 2016 års dataskyddsdirektiv, har haft i uppdrag att föreslå hur direktivet ska genomföras i svensk rätt i en ny ramlagstiftning med bestämmelser om skydd av per- sonuppgifter inom direktivets tillämpningsområde. Utredningen har lämnat förslag till en sådan lagstiftning, kallad brotts- datalagen, i delbetänkandet Brottsdatalag (SOU 2017:29). Utredningens arbete pågår fortfarande. Utredningen ska bl.a. lämna förslag till de författningsändringar som krävs för att anpassa vissa centrala författningar om rättsväsendets behandling av person- uppgifter till de nya förutsättningarna. Ett slutbetänkande ska läm- nas senast . Utredningens uppdrag och arbete 2.1.5Utredningen om tillsynen över den personliga integriteten Utredningen om tillsynen över den personliga integriteten (dir. 2014:164 och 2015:139) har, mot bakgrund av att ansvaret för tillsyn på integritetsområdet ligger på flera olika myndigheter, övervägt hur ett i högre grad samlat integritetsskydd kan fungera inom en och samma myndighetsstruktur genom att tillsynen över behandling av personuppgifter samlas hos en myndighet. Utred- ningen har också haft i uppdrag att lämna de förslag som behövs för att myndigheten ska kunna fullgöra de uppgifter som kan bli resultatet av reformeringen av EU:s dataskyddsreglering. I uppdraget har även ingått bl.a. att lämna förslag som medför att myndigheten är förberedd för att kunna fullgöra de uppgifter som ett integri- tetsskyddsråd ska ha enligt förslag av (dir. 2014:65 och 2016:12). Den kommittén har utifrån ett individ- perspektiv kartlagt och analyserat sådana faktiska och potentiella risker för intrång i den personliga integriteten som kan uppkomma i samband med användning av informationsteknik i såväl privat som offentlig verksamhet. Kommittén har avgett delbetänkandet Hur står det till med den personliga integriteten? – en kartläggning av (SOU 2016:41). Utredningen om tillsynen över den personliga integriteten har redovisat sitt uppdrag i betänkandet Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65). Denna utredning har biträtts av experter som representerat domar- kåren, advokatkåren, Datainspektionen, länsstyrelserna, Polismyndig- heten, och grund- lagsenhet. Utredningen har regelbundet hållit sammanträden med experterna, totalt åtta stycken, varav ett i internatform. Inför sammanträdena har utredningen producerat promemorior som i arbetets slutskede i allt väsentligt motsvarat texten i detta betänk- ande. Utredningen har vidare inhämtat domstolspraxis på området och annat relevant material. Som grund för den kartläggning och utvärdering av kameraövervakningslagen som utredningen haft i upp- Utredningens uppdrag och arbete drag att göra har två enkätundersökningar genomförts. Dessa under- sökningar och resultatet av dem redovisas i avsnitt 5. Utredningen har även sammanträffat med företrädare för myn- digheter och andra som berörts av de frågor som utredningen haft att överväga. Dessa möten och de synpunkter som då framkommit redovisas också i avsnitt 5. Därutöver har det förekommit kon- takter också med andra. Utredningen har även medverkat i vissa andra sammanhang, t.ex. i konferensen dag 2016 och 2017 samt mässan . Under arbetets gång har utredningen fortlöpande fört en dialog med och samrått med flera av de andra utredningar på dataskydds- området som nämnts ovan. Det gäller i första hand Dataskydds- utredningen och Utredningen om 2016 års dataskyddsdirektiv. Utredningen har också deltagit i en samordningsgrupp för samtliga utredningar på området. Dessutom har utredningen sammanträffat med Utredningen om självkörande fordon på väg (N 2015:07). trädde kameraövervakningslagen (2013:460) i kraft. I och med införandet av kameraövervakningslagen samlades bestäm- melserna i den tidigare lagen (1998:150) om allmän kameraövervak- ning och vissa bestämmelser i personuppgiftslagen (1998:204) i en och samma lag. Syftet var att modernisera regleringen av kamera- övervakning på ett sätt som skulle säkerställa balansen mellan in- tresset av att använda kameraövervakning för berättigade ändamål och intresset av att skydda enskildas integritet. Avsikten var också att bestämmelserna skulle bli mer överskådliga och lättillgängliga (prop. 2012/13:115 s. 1). Vid sidan av kameraövervakningslagen finns det särskilda bestäm- melser om s.k. hemlig kameraövervakning i 27 kap. rättegångs- balken och i lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott. Bestämmelserna om hemlig kameraövervak- ning innebär att sådan kameraövervakning får användas, bl.a. vid vissa förundersökningar i brottmål, utan att upplysning om över- vakningen lämnas. Då hemlig kameraövervakning inte omfattas av utredningens uppdrag kommer dessa regler inte att behandlas närmare i betänkandet. I detta avsnitt lämnas inledningsvis en översiktlig redogörelse för den generella regleringen om skydd för personuppgifter i inter- nationella åtaganden avseende dataskydd och bestämmelser på natio- nell nivå. Därefter lämnas en beskrivning av innehållet i kamera- övervakningslagen. För en sammanfattning av tidigare lagstiftning om kameraövervakning hänvisas till betänkandet En ny kamera- övervakningslag (SOU 2009:87, s. 49 f.). I avsnitt 6 finns en redovis- ning av EU:s nya dataskyddsreglering. lagstiftning på kameraövervakningsområdet i några av våra nordiska grannländer. 3.2Den generella regleringen om skydd för personuppgifter Rätten till respekt för den personliga integriteten ingår som en del i rätten till respekt för privatlivet enligt den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Av arti- kel 8 i följer att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. är inkorporerad i svensk rätt och gäller som svensk lag (lagen [1994:1219] om den europeiska konventionen angående skydd för de mänskliga rättig- heterna och de grundläggande friheterna). Artikel 8 om rätt till respekt för privatlivet m.m. gäller alltså som svensk lag. Av 2 kap. 19 § regeringsformen framgår att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av Europakonven- tionen. Inom antogs en konvention (nr 108) om skydd för enskilda vid automatisk databehandling av personuppgifter, den s.k. dataskyddskonventionen. Till konventionen hör ett tilläggs- protokoll. Dessutom kompletteras konventionen av ett antal rekom- mendationer på dataskyddsområdet. Konventionens syfte är att säker- ställa den enskildes rätt till personlig integritet i samband med automatiserad behandling av personuppgifter. Regleringen kan ses som en precisering av skyddet enligt artikel 8 i Europakonven- tionen vad gäller just automatiserad behandling av personuppgifter. Inom pågår en översyn av konven- tionen. Samtliga medlemsstater i EU har tillträtt konventionen. EU:s stadga om de grundläggande rättigheterna Enligt artikel 6.1 i fördraget om Europeiska unionen ska EU:s stadga om de grundläggande rättigheterna ha samma rättsliga värde som fördragen. I stadgan bekräftas de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och inter- nationella förpliktelser, , unionens och Europa- rådets sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Stadgans huvudsakliga syfte är att kodifiera de grundläggande fri- och rättigheter som EU redan erkänner. I stadgans artikel 7 föreskrivs, efter förebild i artikel 8 i Europa- konventionen, att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. Av artikel 8 följer vidare att var och en har rätt till skydd för personuppgifter. Rättig- hetens innebörd är att personuppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens sam- tycke eller någon annan legitim och lagenlig grund. Vidare har var och en rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs. Av artikel 51 framgår att stadgan riktar sig till medlemsstaterna när de tillämpar unionsrätten. Enligt artikel 52 måste varje begränsning i utövandet av de fri- och rättigheter som erkänns i stadgan vara föreskriven i lag och vara förenlig med det väsentliga innehållet i dessa fri- och rättig- heter. Begränsningar får, med beaktande av proportionalitetsprin- cipen, göras endast om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller be- hovet av skydd för andra människors fri- och rättigheter. en rättighet som erkänns i stadgan motsvarar en rättighet som också garanteras i ska rättigheten i stadgan ha samma innebörd och räckvidd som i konventionen. Den allmänna regleringen inom EU om skydd av personuppgifter finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, dataskyddsdirektiv. Direktivet syftar till att garan- tera en i alla medlemsstater hög och likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på be- handling av personuppgifter samt att främja ett fritt flöde av per- sonuppgifter mellan medlemsstaterna i EU. dataskyddsdirektiv omfattar både behandling av person- uppgifter som är helt eller delvis automatiserad och behand- ling av personuppgifter som ingår eller kommer att ingå i ett register. Direktivet omfattar däremot inte behandling av personuppgifter på områden som faller utanför unionsrätten, t.ex. som avser allmän säkerhet eller försvar. Det omfattar inte heller behandling av person- uppgifter av en fysisk person som är av rent privat natur. Enligt direktivet ska all behandling av personuppgifter vara lag- lig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tiden för insamlingen av uppgifterna. De ändamål för vilka upp- gifterna senare behandlas får inte vara oförenliga med de ursprung- liga ändamålen. Personuppgifter får enligt direktivet behandlas bara om den registrerade otvetydigt har lämnat sitt samtycke eller om behandlingen är nödvändig för något av de ändamål som anges i direktivet, t.ex. för att utföra en arbetsuppgift som är av allmänt intresse eller utgör ett led i myndighetsutövning. Vissa kategorier av uppgifter, s.k. känsliga personuppgifter, får som huvudregel inte behandlas. Det gäller uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Behandling av sådana uppgifter får endast ske i vissa undantagsfall, bl.a. när det finns ett uttryckligt samtycke av den registrerade. Medlemsstaterna får också, under förutsättning att lämpliga skyddsåtgärder vidtas och av hänsyn till ett viktigt all- mänt intresse, besluta om undantag från förbudet. Vidare finns det i direktivet bestämmelser om enskildas rätt till information och tillgång till uppgifter för att kunna ta till vara sina rättigheter. Som huvudregel ska den personuppgiftsansvarige infor- mera den registrerade om att personuppgifter behandlas. Direktivet ger också den registrerade rätt att på begäran få information om bl.a. vilka uppgifter som behandlas samt att få sådana uppgifter som inte har behandlats i enlighet med direktivet rättade, utplånade eller blockerade. Räckvidden av de principer och de rättigheter som slås fast för enskilda i direktivet får begränsas genom undantag i nationell rätt. Begränsningar får göras bl.a. om det är nödvändigt med hänsyn till statens säkerhet, allmän säkerhet eller förebyggande, undersökning, avslöjande av brott eller åtal för brott. Direktivet innehåller också bestämmelser om rätt att motsätta sig behandling, regler om säkerhet vid behandling och om krav på en nationell reglering rörande skadestånd och sanktioner. Enligt direktivet får vidare en överföring av personuppgifter till tredjeland, dvs. en stat som inte är medlem i EU eller ansluten till Europeiska ekonomiska samarbetsområdet (EES), som huvudregel endast ske om det mottagande landets lagstiftning kan säkerställa en adekvat skyddsnivå. Varje medlemsstat ska enligt direktivet utse en eller flera myndig- heter som har till uppgift att inom dess territorium övervaka tillämp- ningen av de bestämmelser som medlemsstaterna antar till följd av direktivet. Dessa myndigheter ska fullständigt oberoende utöva de uppgifter som åläggs dem. På EU-nivå finns även bl.a. rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, data- skyddsrambeslutet. Av målsättningsstadgandet i 1 kap. 2 § regeringsformen (RF) fram- går att den offentliga makten ska utövas med respekt för den en- skilda människans frihet och värdighet samt att det allmänna ska värna den enskildes privatliv och familjeliv. Vidare följer av 2 kap. 6 § andra stycket RF att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Begränsningar i denna rättig- het får endast göras i lag och under de förutsättningar som anges i 2 kap. 21 och 22 §§ RF. dataskyddsdirektiv har genomförts i svensk rätt huvud- sakligen genom personuppgiftslagen. Personuppgiftslagen följer i princip direktivet vad gäller såväl text som struktur. Utöver den generella regleringen i personuppgiftslagen finns det ett stort antal s.k. särskilda registerförfattningar med bestämmelser som främst reg- lerar hur olika myndigheter får behandla personuppgifter, exempel- vis polisdatalagen (2010:361) och domstolsdatalagen (2015:728). Det finns också sådana bestämmelser i författningar som primärt har andra syften än att reglera personuppgiftsbehandling, exempel- vis i vapenlagen (1996:67) och kreditupplysningslagen (1973:1173). Personuppgiftslagen syftar till att skydda människor mot att deras personliga integritet kränks genom behandling av person- uppgifter (1 §). Lagen är generellt tillämplig och gäller alltså även inom områden utanför tillämpningsområdet dataskydds- direktiv. Lagen är dock subsidiär i förhållande till annan lag eller förordning (2 §). Med personuppgifter avses enligt personuppgiftslagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 §). Lagen gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad samt vid be- handling i register (5 §). Den gäller dock inte behandling av personuppgifter som utförs av en fysisk person som ett led i en verksamhet av rent privat natur (6 §). I lagen uppställs vissa grundläggande krav på behandling av per- sonuppgifter (9 §). Dessa krav innebär att personuppgifter bara får behandlas om det är lagligt samt sker på ett korrekt sätt och i enlighet med god sed. Uppgifterna måste dessutom samlas in för särskilda, uttryckligt angivna och berättigade ändamål och får inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Vidare ska de behandlade personuppgif- terna vara adekvata och relevanta i förhållande till ändamålet med behandlingen. Det är inte tillåtet att behandla fler personuppgifter än vad som är nödvändigt med hänsyn till ändamålet med behand- lingen och inte heller att bevara uppgifterna än nödvändigt. Av lagen följer vidare att personuppgifter får behandlas endast om den registrerade har lämnat sitt samtycke eller behandlingen är nödvändig för ett i lagen angivet ändamål (10 §). I lagen finns även bestämmelser om bl.a. information till den registrerade, säkerhet vid behandling, straff och skadestånd. Data- inspektionen är tillsynsmyndighet enligt personuppgiftslagen. Enligt en särskild bestämmelse i personuppgiftslagen, den s.k. miss- bruksregeln, behöver de flesta av lagens regler inte tillämpas på personuppgifter som inte ingår i eller är avsedda att ingå i en sam- ling av personuppgifter som har strukturerats för att påtagligt under- lätta sökning efter eller sammanställning av personuppgifter (5 a §). Behandling av personuppgifter som faller in under missbruksregeln får dock inte utföras, om den innebär en kränkning av enskildas personliga integritet. Kameraövervakningslagen innehåller bestämmelser om kameraöver- vakning, dvs. användning av övervakningskameror och övrig över- vakningsutrustning. Syftet med lagen är att tillgodose behovet av kameraövervakning för berättigade ändamål som enskilda skyddas mot otillbörliga intrång i den personliga integriteten (1 §). Lagen gäller i stället för personuppgiftslagen (6 §). Med övervakningskameror avses enligt lagen TV-kameror, andra optisk-elektroniska instrument och därmed jämförbara utrust- ningar som är uppsatta så att de, utan att manövreras på platsen, kan användas för personövervakning samt separata tekniska anord- ningar för avlyssning eller upptagning av ljud vilka i samband med användning av sådan utrustning används för personövervakning (2 §). Med optisk avses alla registreringar som kan ske med instrument inom det elektromagnetiska våglängdsspektrat för optisk strålning. Elektronisk innebär att förmedling, visning eller lagring av bilder sker genom elektronisk påverkan. Med därmed jämförbara utrust- ningar avses t.ex. utrustning som utnyttjar sådan elektromagnetisk strålning som röntgen och radiofrekvent strålning. Detta innebär att t.ex. röntgenkameror kan omfattas av lagen. Kravet att kameran ska vara uppsatt innebär att placeringen av kameran ska ha en viss varaktighet. En kamera som endast används helt kortvarigt är där- med inte en övervakningskamera som omfattas av lagen. Att kameran ska kunna användas utan att manövreras på platsen innebär att den fortlöpande hanteringen av utrustningen inte ska ske på plats. Lagen är alltså inte tillämplig på handhållna kameror. Endast det förhåll- andet att en kamera sätts i gång på stället eller fungerar med inbyggd automatik innebär inte att den manövreras på platsen och att lagen inte är tillämplig. Med personövervakning avses att perso- ner kan identifieras genom övervakningen. För att en möjlighet till identifiering ska anses föreligga krävs att sådana kännetecken kan iakttas som gör att man utan större osäkerhet kan skilja de per- soner som iakttas från andra personer. Så är fallet om hela personen eller personens ansikte syns tydligt. Även sådant som utmärkande klädsel, speciella kroppsrörelser eller särskild kroppskonstitution kan möjliggöra identifiering. Exempel på separata tekniska anord- ningar för avlyssning eller upptagning av ljud är mikrofoner och radiosändare som inte är inbyggda i en övervakningskamera (prop. 2012/13:115 s. 38 ff. och prop. 1989/90:119 s. 39 f.). Med övrig övervakningsutrustning avses separata tekniska anord- ningar för att behandla upptaget bild- och ljudmaterial, exempelvis anordningar för att lagra inspelad film. Lagen innehåller också definitioner av begreppen behandling, sam- tycke och personuppgifter (2 §). Definitionerna motsvarar i huvud- sak definitionerna av dessa begrepp i personuppgiftslagen (3 §). Kameraövervakningslagen gäller vid kameraövervakning med övervakningskameror som är uppsatta i , om den som bedriver övervakningen är etablerad i eller i tredjeland. tredjeland avses en stat som varken ingår i EU eller är ansluten till EES (2 §). Lagen gäller också vid behandling av bild- och ljud- material som tagits upp vid sådan övervakning, om behandlingen utförs av den som bedriver övervakningen eller för hans eller hennes räkning (3 §). Lagen gäller dock inte vid kameraövervakning av en plats dit allmänheten inte har tillträde, om övervakningen bedrivs av en fysisk person som ett led i en verksamhet av rent privat natur (5 §). Undantaget kan t.ex. omfatta kameraövervakning i en privatbostad när övervakningen bedrivs av den som bor där. Lagen gäller inte heller vid hemlig kameraövervakning enligt rättegångs- balken eller lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott (4 §).