prop · H503231 · 2018-04-19 00:00:00 — Några av länsstyrelserna, bl.a. i och i län, anser att det endast bör vara länsstyrelserna och inte Datainspektionen som ska utöva tillsyn och ansvara för tillståndsprövning enligt den nya lagen. Som skäl för detta anförs bl.a. att länsstyrelserna har en upparbetad kompetens för att fortsätta bedriva tillsynsarbetet samt god lokalkännedom. Enligt bör tillsynsansvaret även fortsättningsvis vara delat mellan länsstyrelserna och Datainspektionen. Skälen för regeringens förslag: I kameraövervakningslagen är tillsynsansvaret delat mellan Datainspektionen och länsstyrelserna. Datainspektionen utövar den operativa tillsynen av kameraövervakning på platser dit allmänheten inte har tillträde och har dessutom det centrala ansvaret för tillsyn enligt lagen. Länsstyrelserna ansvarar för den operativa tillsynen av kameraövervakning på platser dit allmänheten har tillträde. Länsstyrelserna prövar också ansökningar om tillstånd och tar emot sådana anmälningar som innebär att övervakningen får ske utan tillstånd. Dataskyddsförordningen innehåller en omfattande reglering om tillsyn. Enligt artikel 51 ska varje medlemsstat utse en eller flera självständiga tillsynsmyndigheter som ska ansvara för att övervaka tillämpningen av förordningen. ska enligt artikel 52 vara fullständigt oberoende i utförandet av sina uppgifter och utövandet av sina befogenheter. Enligt artikel 53 ska medlemsstaterna föreskriva att varje ledamot av deras tillsynsmyndigheter ska utnämnas genom ett öppet förfarande. Vidare ska varje ledamot ha de kvalifikationer, den erfarenhet och den kompetens, särskilt på området för skydd av personuppgifter, som krävs för att ledamoten ska kunna utföra sitt uppdrag och utöva sina befogenheter. har de uppgifter som anges i artikel 57, bl.a. att övervaka och verkställa tillämpningen av förordningen, och de befogenheter som anges i artikel 58, bl.a. att besluta om förelägganden och administrativa sanktionsavgifter. Även i dataskyddsdirektivet finns ett flertal bestämmelser om tillsyn (artikel 41– 49). I stora delar överensstämmer dessa med eller liknar bestämmelserna i Enligt direktivet får det i nationell rätt föreskrivas att en 2017/18:231 tillsynsmyndighet som har inrättats i enlighet med förordningen ska vara tillsynsmyndighet även enligt direktivet (artikel 41.3). Tillsynen enligt kamerabevakningslagen måste ordnas på ett sätt som är förenligt med EU-regleringen. Det innebär bl.a. att den myndighet som utövar tillsyn över kamerabevakning måste uppfylla de krav på tillsynsmyndighetens oberoende, organisation och befogenheter som gäller enligt både dataskyddsförordningen och dataskyddsdirektivet. Enligt Utredningen om tillsynen över den personliga integriteten (Ju 2015:02) uppfyller Datainspektionen dessa krav (SOU 2016:65 s. 140– 153). Den utredningen föreslår också att Datainspektionen ska utses till svensk tillsynsmyndighet enligt både dataskyddsförordningen och dataskyddsdirektivet, samt att detta ska regleras på förordningsnivå i myndighetens instruktion. Förslagen till dataskyddslag och brottsdatalag utgår från att tillsynsansvaret enligt dataskyddsförordningen och dataskyddsdirektivet kommer att samlas hos Datainspektionen. Länsstyrelserna har visserligen en upparbetad kompetens på kameraområdet och en god lokalkännedom som kan vara till nytta både i samband med prövning av tillståndsansökningar och vid tillsynsarbete. Datainspektionen kommer dock att ha tillsynsansvaret över personuppgiftsbehandling generellt, bl.a. sådan kameraanvändning som inte kommer att omfattas av kamerabevakningslagen. Tillsynen över den kamerabevakning som ska omfattas av den nya lagens tillämpningsområde kommer till skillnad från dessutom regelmässigt kräva bedömningar av lagligheten enligt den tillämpliga dataskyddsregleringen, i första hand dataskyddsförordningen och brottsdatalagen. Den ökade rättsliga komplexiteten ställer nya och höga krav på kompetens inom dataskyddsområdet. Den snabba teknikutvecklingen kräver dessutom att en hög teknisk kompetens kan upprätthållas kontinuerligt. Utredningen bedömer att det är tveksamt om länsstyrelserna i alla delar uppfyller de höga krav som ställs i EU-regleringen på tillsynsmyndighetens roll, organisation och uppgifter. Enligt regeringens bedömning är det uppenbart att länsstyrelserna inte uppfyller dessa krav och att en ordning där länsstyrelserna behåller det särskilda tillsynsansvaret på kameraområdet skulle förutsätta omfattande förändringar av länsstyrelsernas organisation. Det är mot denna bakgrund inte möjligt att, som förespråkar, låta länsstyrelserna helt eller delvis fortsätta att ansvara för tillståndsprövningen. Inom dataskyddsförordningens tillämpningsområde är det endast den nationella tillsynsmyndigheten som är behörig att pröva frågor om förhandstillstånd och Datainspektionen kommer i egenskap av tillsynsmyndighet enligt brottsdatalagen att vara den myndighet som och andra brottsbekämpande myndigheter i övrigt är skyldiga att samråda med. Även om länsstyrelsernas rättstillämpning synes ha blivit mer enhetlig sedan Datainspektionen fick ett centralt tillsynsansvar enligt kameraövervakningslagen finns dessutom uppenbara fördelar att samla tillsynen hos en myndighet. Utöver vad som framhålls ovan är det viktigt att de förändringar som föreslås genom kamerabevakningslagen får önskade effekter, både när det gäller utökade möjligheter till kamerabevakning och ett förstärkt integritetsskydd. är det angeläget med en enhetlig och korrekt tillämpning av den nya EU- regleringen och den svenska lagstiftningen som rör personuppgifts- Prop. 2017/18:231 behandling. Datainspektionen bör därför vara ensam tillsynsmyndighet enligt kamerabevakningslagen. Som utredningen föreslår bör detta regleras i förordning. Kamerabevakningslagen bör därför innehålla en bestämmelse som anger att den myndighet som regeringen bestämmer utövar tillsyn över kamerabevakning enligt kamerabevakningslagen. 11.2Tillsynsmyndighetens befogenheter och sanktionsavgifter Regeringens förslag: De bestämmelser om tillsynsmyndighetens befogenheter som gäller enligt EU:s dataskyddsförordning och annan tillämplig personuppgiftsreglering ska gälla även vid tillsynen över att kamerabevakningslagen följs. ska få ta ut en sanktionsavgift av den som bedriver kamerabevakning och bryter mot lagens bestämmelser om tillstånds- och upplysningskrav. Detsamma ska gälla för den som inte följer villkor i ett beslut om tillstånd eller i ett beslut om undantag från upplysningskravet. Vid beslut om sanktionsavgift ska bestämmelser i dataskyddsförordning och dataskyddslagen tillämpas. För kamerabevakning som omfattas av brottsdatalagen ska i stället bestämmelserna i den lagen tillämpas. Vid överträdelser av kamerabevakningslagens bestämmelser om tillståndskrav ska den lägre avgiftsnivå som föreskrivs i EU:s dataskyddsförordning eller, i fråga om myndigheter, dataskyddslagen tillämpas. För kamerabevakning som omfattas av brottsdatalagen ska i stället den lägre avgiftsnivå som föreskrivs i den lagen tillämpas. Vid överträdelser av kamerabevakningslagens bestämmelser om upplysningskrav ska den högre avgiftsnivå som föreskrivs i EU:s dataskyddsförordning eller, i fråga om myndigheter, dataskyddslagen tillämpas. För kamerabevakning som omfattas av brottsdatalagen ska i stället den högre avgiftsnivå som föreskrivs i den lagen tillämpas. Regeringens bedömning: Det bör inte införas bestämmelser om straffansvar eller vite i kamerabevakningslagen. Utredningens förslag och bedömning överensstämmer delvis med regeringens förslag och bedömning. Utredningen föreslår ingen bestämmelse som anger vilka överträdelser av bestämmelser i kamerabevakningslagen som kan föranleda en sanktionsavgift och inte heller bestämmelser om vilken avgiftsnivå som aktualiseras vid respektive överträdelse. Utredningen föreslår i stället en bestämmelse om att den högre avgiftsnivån ska gälla för myndigheter vid överträdelser av regleringen i kamerabevakningslagen. Remissinstanserna: En majoritet av remissinstanserna tillstyrker förslaget eller har inga synpunkter på det. Datainspektionen ifrågasätter i vilken mån sanktionsavgifter kommer kunna dömas ut för överträdelser av bestämmelserna i kamerabevakningslagen med hänsyn till regelsystemets 2017/18:231 komplexitet och vissa oklarheter som rör det tillståndspliktiga området. Datainspektionen anser vidare att den av utredningen föreslagna bestämmelsen är otydlig och svår att förstå samt efterlyser ett förtydligande av vilka bestämmelser i dataskyddsförordningen som ska tillämpas när de olika reglerna i kamerabevakningslagen överträds och vilka avgiftsnivåer som blir aktuella för andra än myndigheter. Några remissinstanser, däribland och Försvarsmakten, motsätter sig att myndigheter ska kunna bli föremål för sanktionsavgifter. kommun anser i och för sig att det är rimligt att myndigheter kan drabbas av sanktionsavgifter vid överträdelser men påpekar att den högre avgiftsnivå som utredningen föreslår kraftigt avviker från liknande högsta sanktionsbelopp i svensk rätt. Skälen för regeringens förslag Datainspektionen vissa befogenheter i sin tillsynsverksamhet, bl.a. att meddela förelägganden och förena dessa med vite (41 och 42 §§). Tillsynsmyndigheterna har också rätt att få tillträde till övervaknings- anläggningar och är skyldig att på begäran lämna den handräckning som dessa myndigheter behöver för att få tillträde (43 §). Dataskyddsförordningen innehåller en omfattande och direkt tillämplig reglering av vilka befogenheter som tillsynsmyndigheten ska ha (artikel 58). har dels vissa utredningsbefogenheter, bl.a. en rätt att beordra den personuppgiftsansvarige personuppgiftsbiträdet att lämna all information som myndigheten behöver för att kunna fullgöra sina uppgifter. Som ett led i sina utredningar har tillsynsmyndigheten också rätt att få tillträde till lokaler som tillhör en personuppgiftsansvarig eller ett personuppgiftsbiträde, inklusive tillgång till utrustning och andra medel för behandling av personuppgifter i överenstämmelse med nationell processrätt. vidare vissa korrigerande befogenheter, bl.a. kan myndigheten utfärda varningar om att planerade behandlingar sannolikt kommer att bryta mot förordningen och meddela förelägganden om att en behandling ska ske i enlighet med bestämmelserna i förordningen. också tillfälligt eller definitivt begränsa, inklusive förbjuda, en behandling Även det nya dataskyddsdirektivet innehåller bestämmelser om tillsyn som till stora delar har samma eller liknande innehåll som bestämmelserna i förordningen och som kommer att genomföras i svensk rätt genom brottsdatalagen. Utredningen om tillsynen över den personliga integriteten bedömer att det saknas behov av att föreskriva ytterligare befogenheter för tillsynsmyndigheten utöver vad som följer av den nya EU-regleringen (SOU 2016:65 s. 154–157). Utredningens förslag bereds i en bestämmelse som innebär att tillsynsmyndigheten har enligt dataskyddsförordningen också gäller vid tillsyn över efterlevnaden av bestämmelserna i författningar som kompletterar dataskyddsförordningen (6 kap. 1 §). Någon motsvarande bestämmelse finns dock inte i förslaget till brottsdatalag och det är fortfarande ovisst hur framtida personuppgiftsregleringar på området utanför tillämpningsområde kommer att se ut. Det bör därför tas in en bestämmelse i kamerabevakningslagen om att de befogenheter som tillsynsmyndigheten, dvs. Datainspektionen, har enligt dataskyddsförordningen och annan tillämplig personuppgifts- reglering, t.ex. brottsdatalagen, gäller även vid tillsynen över att kamerabevakningslagen följs. Detta innebär bl.a. att tillsynsmyndigheten kan använda de nämnda befogenheterna i samband med handläggning av ärenden enligt lagen eller när den som bedriver kamerabevakningen underlåter att bistå myndigheten i ett sådant ärende. Regleringen i dataskyddsförordningen och brottsdatalagen ger tillsyns- myndigheten rätt att få tillträde till den personuppgiftsansvariges eller personuppgiftsbiträdets lokaler. I propositionen Ny dataskyddslag bedömer regeringen att det inte behövs några kompletterande bestämmelser i dataskyddslagen som ger tillsynsmyndigheten möjlighet att tillgripa tvångsåtgärder för att genomföra en sådan platsundersökning. I propositionen konstateras att en undersökning av lokalerna i de allra flesta fall bör kunna ske med innehavarens medgivande samt att risken för att tillsynsmyndigheten annars beslutar om tillfälligt förbud mot behandlingen torde medföra att innehavaren ger tillsynsmyndigheten det tillträde den har rätt till. Det framhålls vidare att en underlåtelse att rätta sig efter ett föreläggande eller att ge tillsynsmyndigheten tillgång till uppgifter kan medföra att sanktionsavgifter tas ut (se prop. 2017/18:105 s. 157–158). Det saknas anledning att göra en annan bedömning i detta lagstiftningsärende. Några särskilda bestämmelser om handräckning bör därför inte införas i kamerabevakningslagen. Enligt artikel 58.2 i dataskyddsförordningen ska tillsynsmyndigheten vid överträdelser av förordningens bestämmelser ha befogenhet att utöver eller i stället för andra korrigerande befogenheter påföra administrativa sanktionsavgifter. Sanktionsavgifter kan också påföras vid underlåtenhet att rätta sig efter vissa av tillsynsmyndighetens förelägganden eller beslut. I de sistnämnda fallen fyller sanktionsavgiften en vitesliknande funktion. Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförande av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Vid beslut om huruvida en administrativ sanktionsavgift ska påföras och hur stort belopp avgiften ska uppgå till ska, enligt artikel 83.2 i förordningen, bl.a. beaktas överträdelsens karaktär, svårighetsgrad och varaktighet, om överträdelsen skett med uppsåt eller av oaktsamhet samt graden av samarbete med tillsynsmyndigheten för att komma till rätta med överträdelsen och minska dess potentiella negativa effekter. För vissa mindre allvarliga överträdelser, såsom överträdelse av kravet på konsekvensbedömning eller underlåtelse att samråda med tillsynsmyndigheten, är maxbeloppet för sanktionsavgiften enligt artikel 83.4 i dataskyddsförordningen eller av den 2017/18:231 globala årsomsättningen när det gäller företag, beroende på vilket belopp som är högst. För allvarligare överträdelser, t.ex. överträdelse av de grundläggande principerna för behandling, rätten till information eller underlåtenhet att rätta sig efter tillsynsmyndighetens förelägganden, är, enligt artikel 83.5, maxbeloppet eller av den globala årsomsättningen, beroende på vilket belopp som är högst. Om en personuppgiftsansvarig eller ett personuppgiftsbiträde överträder flera av bestämmelserna i förordningen får, enligt artikel 83.3, sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen. Enligt förslaget till dataskyddslag ska sanktionsavgifter även få tas ut av en myndighet vid överträdelser som avses i dataskyddsförordningen. Avgiftens storlek för myndigheter ska uppgå till högst för de mindre allvarliga överträdelserna och högst för de allvarligare överträdelserna (6 kap. 2 §). Förslaget till dataskyddslag innehåller också vissa bestämmelser om förfarandet vid beslut om sanktionsavgifter och om betalning av avgifterna (6 kap. 4–7 §§). Ett motsvarande system med sanktionsavgifter föreslås gälla inom det nya dataskyddsdirektivets tillämpningsområde genom regleringen i ska enligt förslaget bestämmas för de allvarligare överträdelserna. De grundläggande förutsättningarna för kamerabevakning kommer framöver främst att styras av regleringen i dataskyddsförordningen och, för sådan kamerabevakning som omfattas av det nya dataskyddsdirektivet, brottsdatalagen. Det innebär att förordningens och brottsdatalagens regler om sanktionsavgifter kommer att bli tillämpliga vid sådan kamerabevakning som t.ex. strider mot grundläggande principer för personuppgiftsbehandling eller saknar rättslig grund. Vilka överträdelser bör kunna leda till sanktionsavgifter? Den materiella regleringen i kamerabevakningslagen kommer att vara mer begränsad än den nuvarande regleringen i kameraövervakningslagen. Den centrala materiella regleringen i lagen är dels bestämmelserna om krav på tillstånd, dels bestämmelserna om krav på upplysning. Som utredningen föreslår bör sanktionsavgifterna gälla vid överträdelser av dessa bestämmelser i lagen och vid överträdelser av villkor i sådana beslut som meddelats med stöd av lagen. Liksom i dataskyddslagen bör hänvisningar till dataskydds- förordningens bestämmelser om sanktionsavgifter vara statiska, dvs. avse förordningen i den ursprungliga lydelsen. Detta med hänsyn till behovet av förutsebarhet i fråga om vilka sanktioner som kan bli följden av överträdelser. Som Datainspektionen anför kan det uppkomma fall där det är oklart hur kamerabevakningslagen ska tolkas. I sådana fall bör den som har gjort en felaktig tolkning av regleringen först ges möjlighet att komma till rätta med överträdelsen genom exempelvis ett föreläggande eller en varning från tillsynsmyndigheten. Först om en sådan varning eller ett sådant föreläggande inte följs bör sanktionsavgifter komma i fråga. ordning överensstämmer väl med regleringen i både dataskydds- Prop. 2017/18:231 förordningen och det nya dataskyddsdirektivet som innebär att vederbörlig hänsyn i varje enskilt fall måste tas till bl.a. överträdelsens karaktär, om den skett med uppsåt eller genom oaktsamhet samt graden av samarbete med tillsynsmyndigheten. Sanktionsavgifter ska kunna tas ut av myndigheter Vissa remissinstanser invänder mot att myndigheter ska kunna drabbas av sanktionsavgifter. Det kan dock konstateras att regeringens förslag till dataskyddslag och brottsdatalag innehåller bestämmelser om sanktionsavgifter för myndigheter. Vidare är den nuvarande regleringen utformad så att sanktionssystemet är enhetligt för myndigheter och enskilda. Kameraövervakningslagens bestämmelser om straff och viten omfattar således både myndigheter och enskilda. Enligt regeringens bedömning bör även den nya lagens sanktioner vara likartade för myndigheter och privata organ. Regeringen instämmer därför i utredningens bedömning att sanktionsavgifter ska kunna påföras även myndigheter. Det bör understrykas att detta inte innebär ett ställningstagande i frågan om hur regleringen om sanktioner bör se ut i kommande personuppgiftsreglering för myndigheter inom området för nationell säkerhet, exempelvis Säkerhetspolisen och Försvarsmakten. Det bör framgå av kamerabevakningslagen vilka bestämmelser som ska gälla vid förfarandet rörande sanktionsavgifter. Detta sker lämpligast genom hänvisning till relevanta bestämmelser i dataskyddsförordningen, dataskyddslagen och brottsdatalagen. Det bör således framgå att dataskyddslagens bestämmelser om förfarandet (6 kap. 4–7 §§) ska tillämpas vid beslut om sanktionsavgifter. För kamerabevakning som omfattas av brottsdatalagen ska i stället motsvarande bestämmelser om förfarandet i brottsdatalagen (6 kap. 6– 9 §§) tillämpas. Detta innebär att dataskyddslagens reglering om förfarandet, i enlighet med utredningens förslag, också gäller för sådan kamerabevakning som inte omfattas av tillämpningsområde. Det bör vidare framgå av kamerabevakningslagen vilka bestämmelser som ska gälla vid bedömningen av om en sanktionsavgift ska tas ut och de omständigheter som ska beaktas när storleken på avgiften ska bestämmas. Detta sker lämpligast genom hänvisning till relevanta bestämmelser i dataskyddsförordningen och brottsdatalagen. Det bör således framgå av kamerabevakningslagen att artikel 83.1, 83.2 och 83.3 i EU:s dataskyddsförordning ska tillämpas vid beslut om sanktionsavgift. För sådan kamerabevakning som omfattas av brottsdatalagen ska motsvarande bestämmelser i den lagen tillämpas i stället (6 kap. 3 § tredje stycket samt 4 och 5 §§). Dataskyddsförordningens och dataskyddslagens reglering bör, i enlighet med utredningens förslag, även i detta avseende gälla för sådan kamerabevakning som inte omfattas av tillämpningsområde. 2017/18:231 Avgiftsnivåerna Regeringen anser, till skillnad från utredningen, att nivån på sanktionsavgifterna av enhetlighetsskäl bör vara densamma vid överträdelser av kamerabevakningslagen som vid överträdelser av motsvarande bestämmelser i den generella personuppgiftsregleringen. Regeringen delar vidare Datainspektionens uppfattning att det finns ett behov av att förtydliga utredningens förslag och att det i kamerabevakningslagen uttryckligen bör anges vilka överträdelser som kan aktualisera en sanktionsavgift och vilken avgiftsnivå som i så fall ska tillämpas. Detta bör ske genom att hänvisning sker till de avgiftsnivåer som gäller enligt dataskyddsförordningen, dataskyddslagen och brottsdatalagen. Dataskyddsförordningens och dataskyddslagens reglering om avgiftsnivåer bör därvid gälla även för sådan kamerabevakning som inte omfattas av tillämpningsområde. Tillståndskravet för kamerabevakning utgör en precisering av kravet på konsekvensbedömning och samråd med tillsynsmyndigheten i artiklarna 35.1 och 36.1 i dataskyddsförordningen. Överträdelser av dessa bestämmelser är enligt förordningen sanktionerade med den lägre avgiftsnivån i artikel 83.4. Enligt förslaget till brottsdatalag gäller också motsvarande lägre avgiftsnivå för överträdelser av lagens bestämmelser om konsekvensbedömning och samrådsskyldighet. Kamerabevaknings- lagen bör därför innehålla en bestämmelse som anger att den lägre avgiftsnivå som föreskrivs i dataskyddsförordningen eller, i fråga om myndigheter, dataskyddslagen ska tillämpas vid överträdelser av lagens bestämmelser som rör tillståndskravet. För kamerabevakning som omfattas av brottsdatalagen ska i stället den lägre avgiftsnivå som föreskrivs i den lagen tillämpas. Att underlåta att upplysa om kamerabevakning innebär normalt också ett åsidosättande av enskildas rätt till information om den personuppgiftsbehandling som bevakningen innebär. Överträdelser av kamerabevakningslagens upplysningskrav bör därmed jämställas med sådana överträdelser av bestämmelserna om de registrerades rättigheter som omfattas av den högre avgiftsnivån i artikel 83.5 dataskyddsförordningen. Enligt förslaget till brottsdatalag ska överträdelser av de bestämmelser som reglerar enskildas rätt till information i och för sig inte vara föremål för sanktionsavgifter. Anledningen till detta är att den allmänna information som ska lämnas enligt brottsdatalagen inte bedöms vara av sådan karaktär att det finns någon större risk att en registrerad lider rättsförlust om informationen inte lämnas, samt att skyldigheten att lämna personrelaterad information i specifika fall förutsätter en bedömning av när information ska lämnas (SOU 2017:29 s. 509–510). Förhållandena vid kamerabevakning är emellertid speciella. Huvudregeln att upplysning ska lämnas vid kamerabevakning är av grundläggande betydelse för integritetsskyddet och utgör även en viktig avgränsning i förhållande till regleringen om hemlig kameraövervakning. I kameraövervakningslagen är upplysningskravet straffsanktionerat och det är enligt regeringen inte lämpligt att låta överträdelser av kravet på upplysning i den nya lagen helt eller delvis vara fritt från sanktioner. Sanktionsavgifter bör därför även kunna tas ut vid överträdelser av upplysningskravet vid sådan Prop. 2017/18:231 kamerabevakning som omfattas av det nya dataskyddsdirektivet. Mot denna bakgrund bör det framgå av en bestämmelse i kamerabevakningslagen att den högre avgiftsnivån i dataskydds- förordningen eller, i fråga om myndigheter, i dataskyddslagen ska tillämpas vid överträdelser av bestämmelserna i lagen som rör upplysningskravet. För kamerabevakning som omfattas av brottsdatalagen ska i stället den högre avgiftsnivå som föreskrivs i den lagen tillämpas. Det bör inte införas några bestämmelser om straff eller vite