sou · H6B316d2 · 2018-03-07 00:00:00 — Den nuvarande kameraövervakningslagen, den senaste tidens rätts- praxis från HFD och de föreslagna regleringarna på området innebär följande för självkörande fordon som via kameror på bilen registrerar uppgifter i sin omgivning, t.ex. i en EDR. Kamerorna kan i regel anses uppfylla det grundläggande kravet för kamera- övervakningslagens tillämplighet att vara uppsatta. Likaså torde kamerorna på en självkörande bil anses vara manövrerade på plat- sen, åtminstone i den utsträckning en fysisk person befinner sig i fordonet och kan påverka kameran. Det innebär att kameraöver- vakningslagen inte är tillämplig. I detta innebär inte den föreslagna kamerabevakningslagen eller förslaget om undantag för drönare någon förändring. I den utsträckning som det inte införs särskilda bestämmelser kommer därmed videoövervakning på utsidan av självkörande fordon att omfattas av dataskyddsförordningen. Allmän reglering av skyddsåtgärder En av dataskyddsförordningens grundläggande principer för person- uppgiftsbehandling, principen om integritet och konfidentialitet (artikel 5.1 f), anger att den personuppgiftsansvarige ansvarar för att personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna med användning av lämpliga tekniska eller organisatoriska åtgärder. Till den generella regler- ingen hör även allmänna skyldigheter för den personuppgifts- ansvarige att genomföra lämpliga tekniska och organisatoriska åtgärder för att kunna säkerställa och visa att behandlingen utförs i enlighet med dataskyddsförordningen (artikel 24), samt krav på att säkerställa en lämplig säkerhetsnivå (artikel 32). Även medlemsstaterna åläggs att införa åtgärder till skydd för den registrerade för att viss personuppgiftsbehandling ska vara möjlig. Särskilt artikel 9 och 10, som rör känsliga personuppgifter (i förordningen kallat ”särskilda kategorier av personuppgifter”) respektive personuppgifter om lagöverträdelser m.m., ålägger med- lemsstaterna att införa bestämmelser i nationell rätt för att be- handling i vissa fall ska vara tillåten. Sådana bestämmelser ska även fastställa lämpliga skyddsåtgärder. För att kunna välja vilken eller vilka skyddsåtgärder som kan vara lämpliga krävs en strukturerad analys av vad som ska skyddas (skyddsobjektet), vilka hot och risker som kan drabba skydds- objektet, och vilka mål för skyddet som prioriteras. Vissa riktlinjer för en sådan analys, framför allt vilka risker som ska beaktas, ges i artikel 32 samt skäl 75. När grundläggande personuppgifter, inklu- sive känsliga personuppgifter, för ett stort antal personer behandlas i ett projekt är skyddsobjektet vanligtvis själva personuppgifterna. Några av problemen kan vara att personuppgifterna visar sig vara felaktiga, att personuppgifter från olika källor inte kan kombineras, eller att identifierande eller känsliga personuppgifter sprids utanför forskningsprojektet. I det första fallet är personuppgifternas riktighet (integritet) det prioriterade skyddsmålet. I det andra fallet kan personuppgifternas tillgänglighet, särskilt åtkomsten till de register som utgör källor för personuppgifterna, vara det viktigaste. I det sista fallet är per- sonuppgifternas konfidentialitet, dvs. att de inte avslöjas för obehöriga, det centrala skyddsmålet. Dataskyddsförordningen reglerar inte att några specifika skydds- åtgärder ska vidtas. I artikel 32 nämns dock att den personuppgifts- ansvariga ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken och anger bl.a. pseudonymisering och kryptering som sådana åtgär- der. Pseudonymisering innebär enligt definitionen i artikel 4.5 bl.a. att kompletterande information behövs för att sådan tillskrivning ska bli möjlig. Även artikel 6.4 e exemplifierar lämpliga skyddsåtgärder med kryptering eller pseudonymisering. Förordningen lyfter i övrigt sär- skilt fram pseudonymisering som skyddsåtgärd i skäl 28–29 och 156. I skäl 78 anges även ett antal övriga skyddsåtgärder som är främst organisatoriska till sin natur: ”Sådana åtgärder kan bland annat bestå av att uppgiftsbehand- lingen minimeras, att personuppgifter möjligt pseudony- miseras, att öppenhet om personuppgifternas syfte och behandling iakttas, att den registrerade får möjlighet att övervaka uppgiftsbe- handlingen och att den personuppgiftsansvarige får möjlighet att skapa och förbättra säkerhetsanordningar.” Utöver sådana skyddsåtgärder som nämns direkt i förordningen har svensk personuppgiftslagstiftning laborerat med andra former av skyddsåtgärder, exempelvis sökbegränsningar och sekretessbe- stämmelser. Av artikel 32, som innehåller krav på den personuppgiftsan- svarige och personuppgiftsbiträdet, framgår att dessa ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken i samband med personuppgiftsbehandlingen. Artikeln anger särskilt ett antal åtgär- der och utgångspunkter för bedömningen av lämplig säkerhetsnivå. Även artikel 25 (inbyggt dataskydd och dataskydd som standard) ålägger den personuppgiftsansvarige att integrera nödvändiga skydds- åtgärder i behandlingen. Skäl 97 i dataskyddsförordningen anger bl.a. att när den person- uppgiftsansvariges eller personuppgiftsbiträdets kärnverksamhet be- står av behandling i stor omfattning av särskilda kategorier av per- sonuppgifter och uppgifter som rör fällande domar i brottmål och överträdelser, bör en person med sakkunskap i fråga om dataskydds- lagstiftning och -förfaranden bistå den personuppgiftsansvarige eller personuppgiftsbiträdet för att övervaka den interna efterlevnaden av denna förordning. Tekniska och organisatoriska skyddsåtgärder Dataskyddsförordningen använder genomgående uttrycket ”tek- niska och organisatoriska åtgärder” med några variationer. Ut- trycket definieras inte närmare, men får ändå uppfattas som en indelning i åtgärder som har en teknisk respektive organisatorisk karaktär. Dessa typer av åtgärder är dock inte oberoende av var- andra. Särskilt tekniska skyddsåtgärder kan ofta behöva kom- pletteras med organisatoriska, och ibland är det svårt att dra en skiljelinje. Ett exempel är accesskontroll, dvs. att endast den eller de inom en organisation som har behov av att komma åt vissa uppgifter ska kunna göra det. Detta är i grunden en teknisk åtgärd som genomförs av systemansvariga som sätter läsrättigheter på filer, auktorisering på interna tjänster och så vidare. Men själva bestämmandet av vilka arbetsuppgifter som medför behov av att komma åt vilka uppgifter är i allra högsta grad en organisatorisk skyddsåtgärd. Möjlighet att motsätta sig behandling (opt out-reglering) Ett alternativt förhållningssätt till den enskildes viljeyttring kan vara att, inom ramen för en personuppgiftsbehandling som sker på annan rättslig grund än samtycke, ge den registrerade möjlighet att motsätta sig behandling av dennes personuppgifter (opt out- reglering). Om grunden för behandlingen i stället är en intresseavvägning enligt dataskyddsförordningens artikel 6.1 f får den registrerades uttryckliga motsättande mot behandlingen visserligen anses väga tungt, men den utgör inte ett absolut hinder. Om grunden för behandlingen är intresseavvägning enligt arti- kel 6.1 f eller att behandlingen är nödvändig för att utföra en upp- gift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning enligt artikel 6.1 e har den registre- rade rätt att göra invändningar mot behandlingen enligt artikel 21. I artikel 32.1 i dataskyddsförordningen anges att den personupp- giftsansvarige och personuppgiftsbiträdet, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varie- rande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i för- hållande till risken. Vad som är kostnadsdrivande i genomförandet av en åtgärd torde bero såväl på den faktiska åtgärden som på det sammanhang den ska införas i. En organisation med hög teknisk kompetens och befintliga liknande åtgärder kommer att kunna införa en viss tek- nisk åtgärd billigare än en organisation som saknar denna kunskap. Uttrycket ”behandlingens art, omfattning, sammanhang och ända- mål” torde innebära att valet av lämplig skyddsåtgärd fordrar en avvägning mellan å ena sidan vad som är tekniskt och ekonomiskt rimligt, och å andra sidan hur viktigt skyddet egentligen är. Dataskyddsförordningen ger en möjlighet till införande av upp- förandekoder som kan godkännas av tillsynsmyndighet eller kom- missionen (artikel 40). Efter godkännande kan anslutning till sådan uppförandekod användas för att visa att den personuppgiftsan- svarige uppfyller sina skyldigheter (artikel 24). Avsikten med så- dana uppförandekoder är att bidra till att förordningen genomförs korrekt, med hänsyn till särdragen hos de olika sektorer där personuppgiftsbehandling sker. Pseudonymisering framhålls på flera ställen i dataskyddsförord- ningen som en tänkbar skyddsåtgärd. Pseudonymisering innebär, som nämnts i avsnitt 3.10.1, enligt definitionen i artikel 4.5 bl.a. att kompletterande information behövs för att sådan tillskrivning ska bli möjlig. Genom att särskilt prioritera konfidentialitet i denna kom- pletterande information säkerställs skyddsåtgärdens effektivitet. Det finns anledning att särskilt beröra principen om lagrings- minimering, som finns i både förordningen och direktivet. Prin- cipen innebär att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. I direktivet anges därutöver att det ska föreskrivas lämp- liga tidsgränser för radering av personuppgifter eller för periodisk översyn av behovet av att lagra personuppgifter. Utredningen om 2016 års dataskyddsdirektiv har föreslagit att dessa krav i direktivet genomförs genom att det i brottsdatalagen införs bestämmelser om att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Särskilda skyddsåtgärder för personuppgiftsbehandling för forskningsändamål För all behandling av personuppgifter för forskningsändamål, oav- sett vilken grund behandlingen baseras på, krävs det enligt arti- kel 89.1 i dataskyddsförordningen att behandlingen omfattas av lämpliga skyddsåtgärder, men något krav på fastställda skydds- åtgärder framgår inte direkt av artikeln. Dessa har inte någon direkt motsvarighet i personuppgiftslagen eller det nuvarande dataskydds- direktivet. Dataskyddsdirektivet innehåller dock i artikel 6.1 e, som behandlar samma princip som artikel 5.1 e i dataskyddsförord- ningen (principen om lagringsminimering), ett krav på att med- lemsstaterna ska vidta lämpliga skyddsåtgärder för de personupp- gifter som lagras för bl.a. vetenskapliga ända- mål. I skäl 156 förtydligas att medlemsstaterna bör införa lämpliga skyddsåtgärder för behandlingen av personuppgifter för bland annat vetenskapliga eller historiska ändamål, vilket öppnar för möj- ligheten att i nationell rätt reglera lämpliga skyddsåtgärder för all behandling av personuppgifter för forskningsändamål. I nationell kompletterande lagstiftning både kan och förutsätts det således införas krav på skyddsåtgärder för all behandling av personupp- gifter för forskningsändamål och det gäller även behandling baserad på intresseavvägning. I de fall privata aktörer anser det möjligt att lägga en intresseavvägning till grund för sin behandling av person- uppgifter för forskningsändamål måste de alltså ändå tillämpa bestämmelser i nationell kompletterande lag avseende skydd för den enskilde. Reglering av skyddsåtgärder i samband med forskningsändamål För forskningsändamål framgår direkt av artikel 89.1 att person- uppgiftsbehandling ska omfattas av skyddsåtgärder. Enligt artikeln ska personuppgiftsbehandling för bl.a. forskningsändamål omfattas av lämpliga skyddsåtgärder. Dessa åtgärder ska skydda den registrerades rättigheter och friheter, särskilt principen om upp- giftsminimering. Lämpliga skyddsåtgärder är även en förutsättning för att kunna använda sig av det s.k. forskningsundantaget i arti- kel 5.1 b. Med ”forskningsundantaget” avses det undantag från den allmänna regeln om ändamålsbegränsning, där ytterligare behand- ling för just bl.a. forskningsändamål inte ska anses vara oförenlig med de ursprungliga ändamålen. Artikel 9.2 j i dataskyddsförordningen, som berör nödvändig behandling för bl.a. forskningsändamål av känsliga personuppgifter i enlighet med artikel 89.1, anger att unionsrätten eller den natio- nella rätten ska innehålla bestämmelser om lämpliga och särskilda åtgärder. Dessa åtgärder ska säkerställa den registrerades grund- läggande rättigheter och intressen. Skäl 156 i dataskyddsförord- ningen anger utöver detta även att medlemsstaterna bör införa lämpliga skyddsåtgärder för behandlingen av personuppgifter för bl.a. forskningsändamål. Annan lagstiftning av relevans Utöver de bestämmelser om personuppgiftsskydd som har behand- lats i avsnitt 3, är andra rättsområden av relevans för bedömning av vem som kan få tillgång till information i en EDR och under vilka förutsättningar. Det rör sig framför allt om processuella regler om husrannsakan och beslag (avsnitt 4.1), straffrättsliga regler om data- intrång (avsnitt 4.2) samt immaterialrättsliga regler om databasskydd (avsnitt 4.3). Dessa rättsområden behandlas i det följande. Processuella regler – Husrannsakan, beslag m.m. I 28 kap. finns bestämmelser om husrannsakan, som har relevans för brottsutredande myndigheters möjlighet att få tillgång till information i en EDR. I 28 kap. 1 § första stycket anges att om det finns anledning att anta att ett brott har begåtts på vilket fängelse kan följa, får husrannsakan företas i hus, rum eller slutet förvaringsställe för att söka efter föremål som kan tas i beslag eller i förvar eller annars för att utröna omständigheter som kan vara av betydelse för utredning om brottet eller om förverkande av utbyte av brottslig verksamhet. För att en husrannsakan ska få ske krävs alltså att det förekommer anledning att ett brott har begåtts. Syftet med åtgärden får således inte vara att upptäcka brottet eller att förebygga ett brott. Brottet ska ha fängelse i straffskalan. I 27 kap. finns bestämmelser om beslag, som har relevans för brottsutredande myndigheters möjlighet att få tillgång till information i en EDR. I 27 kap. 1 § anges att föremål som skäligen kan antas ha betydelse för utredning om brott eller vara avhänt någon genom brott eller förverkat på grund av brott får tas i beslag. Detsamma gäller föremål som skäligen kan antas ha betydelse för utredning om förverkande av utbyte av brottslig verk- samhet. Beslag kan alltså avse lösa saker. Beslag kan användas oberoende av brottets beskaffenhet, men kan endast avse föremål som är tillgängliga för en sådan åtgärd. Beslagsrätten ger alltså i sig inte befogenhet att företa åtgärder för att söka efter föremål. Som medel att skaffa fram föremål som inte lämnas ut frivilligt kan i stället ifrågakomma husrannsakan, kroppsvisitation, editions- föreläggande eller föreläggande att tillhandahålla föremål. Med att föremålet skäligen kan antas ha betydelse för utredning om brott avses inte endast det fallet att föremålet kan antas komma att senare åberopas som bevis i målet utan även att ett omhänderta- gande kan vara av värde som utgångspunkt för förundersökningens bedrivande eller som ledtråd för spaningarna efter förövaren av brottet. Att bereda sig olovlig tillgång till information i en EDR kan omfattas av bestämmelserna om dataintrång i 4 kap. 9 c § brotts- balken. I bestämmelsen anges att för dataintrång döms den som olovligen bereder sig tillgång till en uppgift som är avsedd för auto- matisk behandling eller olovligen ändrar, utplånar, blockerar eller i register för in sådan uppgift, om inte brottet uppfyller rekvisiten för något av brotten brytande av post- eller telehemlighet, intrång i förvar, eller olovlig avlyssning. Påföljden är böter eller fängelse i högst . faktauppgifter omfattas i regel inte av immaterialrättsligt skydd. I den utsträckning någon har haft en väsentlig investering i att anskaffa, granska eller presentera information i en databas kan den investeringen resultera i s.k. databasskydd enligt 49 § lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk (URL). Bestämmelsen återgår på artikel 7 i och rådets direktiv /9/EG av om rättsligt skydd för databaser och ger den som ansvarat och tagit risken för in- vesteringen en rätt att hindra andra från att göra utdrag från eller återanvända hela eller väsentliga delar av databasens innehåll. Be- stämmelserna i 49 § URL kan ha relevans för information som lagras i en EDR, beroende på hur minnesenheten fungerar. I den här rapporten har analyserats hur s.k. svarta lådor (Event Data Recorders) kan användas för att samla in information om självkörande fordon. Fokus har varit på information för framtida forskning, samt för att kunna utreda ansvarsfrågor, såväl straff- rättsligt ansvar och skadeståndsrättsligt ansvar. Bestämmelser om personuppgiftsskydd har ägnats särskild uppmärksamhet. I enlighet med förutsättningarna för rapporten – den tid som har stått till mitt förfogande och det faktum att rapporten i betydande utsträck- ning tar sikte på ett ”rörligt mål” – innebär att det inte har varit möjligt att nu komma med några slutliga lösningar. Förutsätt- ningarna har också påverkat abstraktionsnivån i rapporten. Uppdraget beskrevs i avsnitt 1. De flesta av de frågor som uppdraget omfattar har helt eller delvis behandlats i avsnitten 2–4. För att tydligt svara mot uppdragsbeskrivningen sker i följande avsnitt en direkt återkoppling till de skilda delarna av uppdraget. Inventering av aktuellt regelverk, särskilt dataskyddsförordningen, m.m. I avsnitt 2.1 konstateras att de frågor som anges i projekt- beskrivningen kan kategoriseras på skilda sätt utifrån ett rättsligt perspektiv. I grunden tar frågorna sikte på behandling av informa- tion som finns i s.k. EDRs, samt frågor om tillgång och möjlighet till vidareutnyttjande. Det är aspekter som i huvudsak rör rätts- områden om integritet och personuppgiftsskydd, men det finns även immaterialrättsliga aspekter. liga frågor om husrannsakan och beslag, samt straffrättsliga regler om dataintrång. En grundläggande utgångspunkt i befintligt regelverk är att information i sig – också i en EDR – i regel inte är (eller kan vara) föremål för ”äganderätt” (eng. property) i traditionell mening, dvs. en i lagen sanktionerad generell rätt att förhindra andra från att ta del av informationen med tillhörande möjlighet att villkora till- stånd. I vissa regelverk finns dock bestämmelser som i viss ut- sträckning och under särskilda förutsättningar ger en person möj- lighet att villkora förutsättningar för andra att ta del av informa- tionen. Sådana bestämmelser finns i den immaterialrättsliga regler- ingen om rättsligt skydd för databaser. Regelverket har betydelse för EDRs om det som sker i en EDR uppfyller förutsättningarna för att vara anskaffning, granskning och presentation av infor- mation i en databas. Om någon har lagt ner väsentliga investeringar för att möjliggöra anskaffning, granskning eller presentation av information i en EDR som är en databas så ges denna person rätt att förhindra andra att göra utdrag eller återanvändning av hela eller väsentliga delar av innehållet i basen. Om EDR:en/databasen utgör en integrerad del av fordonet så torde ägaren av fordonet i regel innehavare av databasrättigheterna. Bedömningen kan bli annor- lunda om det finns avtalsvillkor med annan innebörd. Bedöm- ningen kan bli annorlunda också om databasen är lokaliserad externt i förhållande till fordonet och ägaren. Varje situation måste bedömas för sig och någon generell (per se) norm om vad som gäller för databasrättigheter i förhållande till EDRs kan inte upp- ställas. Det finns även bestämmelser av mer offentligrättslig karaktär som mer allmänt anger att vissa åtgärder med viss information är förbjuden i lag. En sådan bestämmelse finns i 4 kap. 9 c § brotts- balken, som reglerar förutsättningarna för att en åtgärd ska bedömas som dataintrång. I bestämmelsen anges att för dataintrång döms den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatisk behandling eller olovligen ändrar, utplånar, blockerar eller i register för in sådan uppgift, om inte brottet upp- fyller rekvisiten för något av brotten brytande av post- eller tele- hemlighet, intrång i förvar, eller olovlig avlyssning. Det avgörande är således om den som bereder sig tillgång till en uppgift m.m. gör det olovligen. Ett beredande kan vara lovligt om det t.ex. finns stöd för det i lag eller avtal. Om sådan reglering eller sådant tillstånd inte finns är det alltså fråga om ett olovligt beredande. Om EDR:en/databasen utgör en integrerad del av fordonet så torde ägaren av fordonet i regel vara den som kan medge nödvändigt tillstånd. Det är också tänkbart att införa stöd i lag för att någon annan än innehavaren av fordonet ska kunna få tillgång till informationen. Även om en sådan reglering skulle göra att den aktuella åtgärden inte längre utgör dataintrång, så kan annan lagstiftning uppställa gränser för hur informationen får behandlas. Det kan t.ex. röra sig om det nämnda databasskyddet, men också bestämmelser om person- uppgiftsskydd. I avsnitten 2.3 och 3 inventeras befintligt regelverk om per- sonuppgiftsskydd, omfattande såväl den pågående dataskyddsrefor- men, aktuella nationella lagstiftningsförslag som färsk rättspraxis. En grundläggande utgångspunkt för inventeringen är bedömningen att fordonstillverkare eller forskare som behandlar uppgifter som finns i en EDR, oavsett om det är fråga om en EDR som finns fysiskt i ett fordon eller utgörs av en lagringsenhet på annan plats, utför åtgärder som aktualiserar regelverket om skydd av person- uppgifter. Det omfattar också situationen att någon tar fram infor- mation som utgör personuppgifter ur en EDR som finns ett for- don, inklusive fordon som har varit med om en olycka. Inventeringen och analysen avsnitt 3 mynnar ut i bedömningen att det bör övervägas att införa en ny lag som tar sikte på de särskilda behov som EDRs i självkörande fordon ger upphov till. Ett alternativ är att inte införa någon ny särskild lag eller några nya särskilda bestämmelser på området. I stället skulle den aktuella per- sonuppgiftsbehandlingen uteslutande kunna regleras av bestäm- melserna i den kommande dataskyddsförordningen och den av föreslagna kompletterande lagen till för- ordningen, dataskyddslagen, med förordning respektive av den av Utredningen om 2016 års dataskyddsdirektiv föreslagna brotts- datalagen med tillhörande förordning som genomför direktivet. Dessa nya svenska lagar innehåller generella bestämmelser om behandling av personuppgifter och ska gälla i den utsträckning det saknas särskild lagstiftning om sådan behandling på ett visst område. Redan vid en övergripande analys kan det konstateras att det behövs åtminstone vissa särskilda bestämmelser om personupp- giftsbehandling i EDRs i självkörande fordon. hållanden som råder på området kräver t.ex. en särskild reglering om rättslig förpliktelse till behandling (jfr avsnitt 3.3.2, 3.4.1, 3.4.2, 3.4.5 och 3.7). En sådan förpliktelse skulle göra regleringen obero- ende av eventuella tillstånd från dem vars uppgifter blir föremål för behandlingen. Att samla de särskilda bestämmelserna i en enda ny lag innebär att lagstiftningen på området kan bli något enklare att tillämpa, även om många av förordningens bestämmelser kommer att gälla direkt och lagen kan komma att hänvisa till de nya gene- rella lagarna.