sou · H6B316 · 2018-03-07 00:00:00 — Den personuppgiftsansvarige ska vidta åtgärder för att säkerställa att förordningen följs och personupp- giftsansvarig ska kunna visa att förordningen följs t.ex. genom dokumentation. I förordning är utgångspunkten att dataskydd ska vara standard och inbyggd (artikel 25). Den personuppgiftsansvarig ska vidta tekniska och organisatoriska åtgärder för att se till att fysiska personers rätt till skydd för sina personuppgifter uppfylls på lämpligt sätt till exempel genom pseudonymisering. Om en per- sonuppgiftsincident inträffar ska tillsynsmyndighet och den registrerade underrättas (artikel 33 och 34). Registrerades rättigheter (art 12–23) De personer vars personuppgifter behandlas har ett antal rättigheter enligt dataskyddsförordningen. Dessa innebär i korthet följande: •Den registrerade har rätt att få information om när och hur hans eller hennes personuppgifter behandlas. •Den registrerade har rätt till rättelse och radering av personuppgift (rätt att bli bortglömd). •I vissa fall kan den registrerade kräva en begränsning av behand- lingen av personuppgifter. •Den som har lämnat sina personuppgifter har i vissa fall rätt till att uppgifterna överflyttas till någon annan (dataportabilitet). •En enskild har i vissa fall rätt att göra invändning mot behand- lingen av personuppgifter. •Den enskilde kan motsätta sig automatiserad behandling av hans eller hennes uppgifter. Vad händer om regler inte följs? (art 77, 78, 82, 83, 84) (Datainspektionen) ska övervaka så att data- skyddsförordningens regler följs. Om så inte sker har tillsynsmyn- digheten rätt att meddela de förelägganden som behövs. Tillsyns- myndigheten har också rätt att påföra en administrativ sanktions- avgift vid överträdelser. Hur hög sanktionsavgiften blir beror, dels på vilken bestämmelse överträdelsen gäller, dels på omständig- heterna i det enskilda fallet. Avgiften kan som högst uppgå till eller av bolagets globala årsomsättning, beroende på vilket belopp som är högst. Den registrerade kan framföra klagomål, dels till den person- uppgiftsansvarige, dels till tillsynsmyndigheten. Den registrerade kan också ha rätt till skadestånd. Till det nuvarande dataskyddsdirektivet finns en arbetsgrupp som kallas WP.29, efter den artikel i direktivet som anger gruppens syfte. Arbetsgruppens uppgift är att tolka och ge råd angående dataskydds- direktivet. I den nya dataskyddsförordningen görs WP.29 om till den Europeiska dataskyddsstyrelsen (artikel 68). Styrelsen uppgift är bland annat att tillse att dataskyddsförordningen tillämpas enhetligt inom EU. Styrelsen ska yttra sig om förordningens tillämpning och komma med eventuella förslag på ändringar till kommissionen. Styrelsen ska även utfärda riktlinjer, rekommendationer och bästa praxisdokument. Från dataskyddsförordningens tillämpningsområde undantas bland annat personuppgiftsbehandling som utförs av behöriga myndig- heter i syfte att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot samt förebyggande av hot mot den allmänna säkerheten. Den personuppgiftsbehandling som görs för dessa syften faller i stället under det nya dataskyddsdirek- tivets tillämpningsområde. Direktivet ska, dels skydda fysiska perso- ners grundläggande fri- och rättigheter, särskilt deras rätt till skydd av personuppgifter, dels underlätta det informationsutbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller natio- nell rätt. Från både förordningens och direktivets tillämpningsområden undantas personuppgiftsbehandling i verksamhet som inte omfat- tas av unionsrätten, däribland området nationell säkerhet. I anledning av EU:s nya dataskyddsförordning har ett flertal lagstift- ningsärenden påbörjats. Dataskyddsförordningen både medger och förutsätter att antar eller anpassar befintliga nationella regler som gäller personuppgiftsbehandling. pågår ett inten- sivt lagstiftningsarbete i frågor som rör dataskydd och personlig integritet med anledning av dataskyddsförordningen och dataskydds- direktivet för brottsbekämpande myndigheter. 8.5.8EU och integritet i elektronisk kommunikation I och med att fordonen blir elektroniskt uppkopplade behöver hänsyn även tas till regler som har med elektronisk kom- munikation att göra. Innehållet i elektronisk kommunikation kan avslöja känslig information om de slutanvändare som är involverade i kommunikationen. På samma sätt kan metadata från elektronisk kommunikation avslöja känslig och personlig information om slut- användare. Inom EU ses behovet av att skydda kommunikationen som en konstitutionell rättighet. För att uppnå att denna rättighet inte överskrids och för att få enhetliga regler regleras elektronisk kommunikation på unionsnivå. Regler på unionsnivå behövs också för att gränsöverskridande flöden av personuppgifter och icke-per- sonuppgifter i samband med användning av elektroniska kommuni- kationstjänster ska fungera. För att uppnå detta skydd kompletteras och preciseras EU:s all- männa dataskyddsförordning i eDataskyddsdirektivet. Förenklat kan man säga att EU:s allmänna dataskyddsförordning skyddar personlig information hos privatpersoner medan eDataskyddsdirektivet skyd- dar själva kommunikationen. I denna kommunikation kan det utöver personlig information, finnas information som inte är personlig och information som är relaterad till juridiska personer. De särskilda bestämmelserna för elektronisk kommunikation har följt de allmänna bestämmelserna om integritet i dataskyddsdirektivet. Det direktiv som gäller kallas eDataskyddsdirektivet och är ett komplement till de allmänna reg- lerna. Syftet med direktivet om integritet och elektronisk kommu- nikation är att harmonisera medlemsstaternas bestämmelser för att säkerställa ett likvärdigt skydd för de grundläggande fri- och rättig- 54 och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation heterna, i synnerhet rätten till integritet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation. Ett annat syfte är att säkerställa fri rörlighet för sådana uppgifter samt för utrustning och tjänster avseende elektronisk kommunikation inom gemenskapen. Direktivet omfattar all behandling av person- uppgifter på de områden som direktivet reglerar, exempelvis trafik, uppgift om var en person befinner sig och service relaterad till tele- kommunikation. Enligt grundregeln i direktivet är all elektronisk kommunikation konfidentiell. Ingrepp i och avlyssning, inspelning, skanning och lagring av t.ex. textmeddelanden, e-post eller röstsam- tal är enligt huvudregeln inte tillåtet utan medgivande från avsän- daren. I vissa fall är behandling av kommunikationsuppgifter dock tillåten. I och med att EU:s allmänna dataskyddsförordning träder i kraft kommer det också att påverka eDataskyddsdirektivet. lade fram ett förslag till ny förord- ning om digitala tjänster i syfte att garantera en starkare integritet i elektronisk kommunikation, i likhet med den allmänna dataskydds- förordningen. Arbetet har också till viss del samordnats med in- förandet av dataskyddsförordningen. Kommissionens målsättning var också att den nya eDataskyddsförordningen skulle träda i kraft som den allmänna dataskyddsförordningen . Enligt kommissionens förslag ska den nya förordningen reglera hur vi får kommunicera elektroniskt med fysiska och juridiska per- soner och hur data ska samlas in. Förslaget innebär att fler kom- munikationsleverantörer omfattas av regelverket. Personlig integritet ska garanteras både för innehåll och för metadata från elektronisk kommunikation (t.ex. tid och plats för ett samtal). Både innehåll och metadata är känsliga uppgifter och måste, enligt de föreslagna reg- lerna, anonymiseras eller raderas om användaren inte har gett sitt medgivande, såvida inte data krävs exempelvis för fakturerings- ändamål. Tanken är att när väl tillstånd har getts för bearbetning av kommunikationsdata, innehåll eller metadata, kommer traditionella teleoperatörer att ha fler möjligheter att använda uppgifter och er- bjuda ytterligare tjänster. I förslaget behandlas även kommunikation mellan maskiner (Internet of Things), som kan få betydelse för för uppkopplade automatiserade fordon. I förslaget för- bjuds bearbetning av data som kommuniceras elektroniskt mellan maskiner, vilket strider mot hela idén bakom C-ITS. Förslaget ligger förnärvarande hos och rådet. Det är oklart om det kommer att finnas en ny eData- skyddsförordning på plats. EU antog datalagringsdirektivet55. reglerades data- lagring i dataskyddsdirektivet. Datalagringsdirektivet kom till som ett svar på terrordåd som utförts i och då det efterfrå- gades bättre möjligheter för polisen att utreda terrorism och grova våldsbrott. EU ville också harmonisera medlemsstaternas lagar be- träffande lagring av elektronisk kommunikation. Direktivet reglerade bland annat att medlemsstaterna skulle anta åtgärder för att säker- ställa att leverantörer av allmänt tillgängliga elektroniska kommunika- tionstjänster eller allmänna kommunikationsnät (leverantörer) lagra- de vissa uppgifter som de genererat eller behandlat, för att säkerställa 55 och rådets direktiv /24/EG av om lagring av upp- gifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät och om ändring av direktiv /58/EG. att uppgifterna var tillgängliga för utredning, avslöjande och åtal av allvarliga brott (artikel 3 och 5). Vad som utgjorde allvarliga brott lämnades åt medlemsstaterna att reglera i nationell lagstiftning (arti- kel 1.1). Uppgifterna som skulle lagras var trafik- och lokaliserings- uppgifter samt de uppgifter som behövdes för att identifiera en abon- nent eller användare (artikel 5). Detta handlade om uppgifter om vem som inlett kommunikationen, till exempel uppringande telefonnum- mer eller ip-adress, samt uppgifter om slutmålet för kommunika- tionen, till exempel det uppringda telefonnumret. Det rörde sig också om uppgifter som var nödvändiga för att identifiera datum, tidpunkt och varaktighet för en kommunikation. Lagringsskyldigheten omfat- tade också uppgifter om typen av kommunikation och vilken utrust- ning som använts, samt uppgifter för att identifiera lokalisering av mobil kommunikationsutrustning. Inga uppgifter som avslöjade kommunikationens innehåll fick dock lagras. Uppgifterna skulle lag- ras och högst från det att kommunikationen ägde rum. Regler kring hanteringen av uppgifterna lämnades i stort till med- lemsstaterna att reglera närmare. Direktivet föreskrev att medlems- staterna skulle anta åtgärder för att säkerställa att uppgifterna endast gjordes tillgängliga för behöriga nationella myndigheter och erinrade om skyldigheten att respektera kraven på nödvändighet och propor- tionalitet, samt övriga bestämmelser i unionsrätten och folkrätten, särskilt mänskliga rättigheter. Direktivet föreskrev också att med- lemsstaterna skulle säkerställa att leverantörerna respekterade vissa minimiprinciper för datasäkerhet. införlivade direktivet i lagen om elektronisk kommunika- tion (se nedan). utsågs till tillsynsmyndighet (PTS). Domstolar i och kom att pröva om den nationella lagstiftningen avseende datalagringsdirektivet var lagenlig. För att av- göra detta beslöt domstolarna oberoende av varandra att inhämta för- handsavgöranden från . Frågan var om datalagrings- direktivet var förenlig med EU:s rättighetsstadga. kom i korthet fram till att datalagringsdirektivet inte var förenligt med EU:s rättighetsstadga eftersom för mycket information lagrades om enskildas mobil- och datakommunikation och att det inte var proportionerligt i förhållande till artiklarna 7 och 8 i rättighetsstad- gan. ogiltigförklarade därefter datalagringsdirektivet.56 Frågan blev då vad som skulle gälla för medlemsstaternas nationella lagstiftning. kan ju som bekant inte ogiltigförklara nationell lagstiftning och det fanns inte längre kvar någon EU-rättslig reglering som ställde krav på datalagring (förutom vissa regler i EU:s dataskyddsdirektiv). PTS agerade snabbt och meddelade att myndigheten inte längre skulle utöva tillsyn enligt den nationella lagstiftningen och leveran- törer slutade därefter att lagra trafikuppgifter. Regeringen tillsatte en utredning (Ds 2014:23) som kom fram till att den svenska lagstift- ningen var förenlig med unionsrätten och uppfyller kraven i EU:s rät- tighetsstadga. PTS återupptog därefter tillsynen. Myndigheten före- lade sedan företaget att återuppta datalagringen. Tele2 överkla- gade föreläggandet till domstol. hamnade målet hos Kammarrätten i (mål 7380-14), som beslöt att inhämta ett förhandsavgörande från . kom fram till att det svenska regelverket i två avseenden inte var förenligt med EU- rätten (dom , mål C-203/15). meddelade kammarrätten dom i målet. Genom domen biföll kammar- rätten överklagandet och upphävde PTS:s beslut att förelägga Tele2. Regeringen har därefter tillsatt en utredning som bl.a. har i upp- drag att göra en översyn avseende datalagring och åtkomst (Ju 2017:04). Uppdraget ska redovisas . Utredningen har levererat ett delbetänkande (SOU 2017:75). I delbetänkandet föreslås bl.a. en begränsad lagrings- skyldighet av data vad gäller innehåll och en begränsad lagringstid. Kommissionen har uttalat att den avser att komma med någon sorts vägledning eller kommentar med anledning av Tele2-domen. Personuppgiftslagen (1998:204, PuL) talar om hur personuppgifter får lagras och hanteras nationellt i , framför allt då uppgifterna behandlas i en helt eller delvis automatiserad process eller då de lagras strukturerat och sökbart. PuL säger att den som ansvarar för upp- 56 Digital Rights C-293/12 och C-594/12 – avgörande . gifterna ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, och listar tekniska möjligheter, kostnad, särskilda risker samt uppgifternas så kallat känslighet som faktorer som påverkar vad som är lämpliga åtgärder. Vad som också är intressant är att den som ansvarar för uppgifterna också är skyldiga att se till att de som hanterar uppgifterna vidtar de åtgärder som ansetts lämpliga. PuL är generellt tillämplig, vilket inne- bär att den gäller även utanför tillämpningsområden och alltså reglerar personuppgifter oavsett ändamålet med behandlingen. PuL är dock subsidiär i förhållande till andra lagar och förordningar. Här kan nämnas att det finns ett större antal så kallade registerför- fattningar som har till uppgift att reglera mer i detalj hur myndigheter ska arbeta med personuppgiftsbehandling i deras register. Data- inspektionen är tillsynsmyndighet enligt PuL. PuL är den svenska lagstiftningens implementering av EU:s data- skyddsdirektiv. I och med att EU:s dataskyddsförordning träder i kraft behöver bland annat PuL förändras. gäller dock fortfarande PuL. Regeringen har tillsatt två utredningar om dataskydd. Den ena arbetade med en generell översyn av PuL utifrån EU:s allmänna dataskyddsförordning (SOU 2017:39). Enligt utredningens förslag bör PuL upphävas och ersättas med en lag om dataskydd, som ska komplettera dataskyddsförordningen. Vidare föreslås att sektorsspecifika bestämmelser ska ha företräde framför den nya lagen om dataskydd. Den andra utredningen arbetade med införandet av den nya dataskyddsförordningen rörande brottsbe- kämpning m.m. Utredningen har lämnat två betänkanden (SOU 2017:29 och 2017:74). Ärendena ligger på bord. Automatiserade fordon kommer att behöva kameror för att navigera. Om kameraövervakning sker på ett sätt som innebär att personer direkt eller indirekt kan identifieras, innebär det en behandling av personuppgifter och därmed blir kameraövervakningslagen tillämplig. Kameraövervakningslagen (2013:460) är ett exempel på lagstiftning som går före PuL. Lagen är till för att säkerställa balansen mellan intresset av att använda kameraövervakning för berättigade ändamål och intresset av att skydda enskildas integritet. Kameraövervaknings- lagens utformning behöver ändras på grund av EU:s nya data- skyddsförordning. Kameraövervakningslagen tar sikte på viss kameraanvändning i samhället som sker öppet. Enligt lagen gäller som huvudregel ett krav på tillstånd för att kameraövervakning ska få ske av platser dit allmän- heten har tillträde, men undantag finns. Handhållna kameror för användning i privat bruk omfattas exempelvis inte av tillståndskravet. Vidare finns ett krav på att det ska upplysas om kameraöver- vakning både vad gäller platser dit allmänheten har tillträde och vad gäller andra platser. Lagen reglerar inte så kallad hemlig kamera- övervakning, som regleras av annan lagstiftning. När det gäller rörliga kameror som sitter på en drönare var det enligt ett ärende i (HDF 2016 ref. 71 I) avgörande för om lagens tillståndskrav ska anses tillämpliga om kameran kan anses uppsatt samt om den anses manövreras på platsen. Det konstaterades i målet att en kamera på en drönare kan vara uppsatt och att manövrering av kameran kunde ske på avstånd (till skillnad från handhållna kameror som normalt undantas). Regeringen har dock infört en lag- ändring om att viss kameraövervakning från drönare ska undantas från kameraövervakningslagens tillämpningsområde. Enligt lagänd- ringen undantas kameraövervakning som sker från ett obemannat luftfartyg, om övervakningen bedrivs av någon annan än en myn- dighet från lagens tillämpningsområde (se vidare prop. 2016/17:182). Lagändringen trädde i kraft . Motsvarande ändring gjordes dock inte när det gäller kameror i fordon. För användning av kameror monterade på fordon gäller att en övervakningskamera som för säkerheten i trafiken eller arbetsmiljön är uppsatt på ett fordon, en maskin eller liknande för att förbättra sikten för föraren eller användaren undantas. Bestämmelsen är inte teknikneutral och det är oklart hur det skulle bedömas om fordonet saknar förare. När det gäller användning av kameror som monterats i fordon finns även ett fall där (HFD 2016 ref. 71 II) har prövat om en kamera monterad på ett cykelstyre eller på insidan av vindrutan i en bil, dvs. en dashcam, föll in under kameraövervakningslagens tillämpningsområde. Av avgörandet fram- går att en kamera som monteras på något av de angivna ställena kan vara uppsatt, om placeringen av kameran har en viss varaktighet eller kameran återkommande kommer att fästas på eller i fordonet. om platsen för manövrering anförde domstolen att kameran skulle vara uppsatt på cykelstyret eller på vindrutans insida, dvs. i fordons- förarens omedelbara närhet, och att föraren skulle starta och stänga av kameran samt avgöra vad som skulle filmas genom att styra for- donet. All manövrering av kameran ansågs därför ske på platsen. Kameran omfattades därmed inte av kameraövervakningslagen. En statlig utredning har utrett hur lagens tillämpningsområde förhåller sig till ny teknik och bland annat tagit ställning till om det behövs integritetsstärkande eller teknikfrämjande åtgärder. I uppdra- get ingick även att analysera hur kameraövervakningslagen skulle kunna anpassas till EU:s nya dataskyddsförordning och lämna de författningsförslag som behövs. Uppdraget redovisades (SOU 2017:55). har bland annat framfört förslaget att nuvarande bestämmelse om att kameror som är till för att hjälpa en fysisk förare i trafiken ska vara tillåtna. I ett automatiserat fordon kommer dock inte kameror att vara till för föraren utan för det automatiska körsystemet. Undantaget för trafik- säkerhetshöjande kameror såsom backkameror har dock i förslaget inte anpassats till en mer teknikneutral skrivning som inbegriper kameror i automatiserade fordon. Det är dock tveksamt om kameror som är monterade i fordon, oavsett automatiseringsnivå, skulle om- fattas av förslaget. Även om den föreslagna kamerabevakningslagen skulle kunna bli tillämplig på teknik som används i automatiserade fordon så gäller lagens tillståndskrav i normalfallet inte för privat- personer eller företag. Enligt utredningens förslag ska kamerabevak- ningslagen endast gälla när utrustningen används varaktigt eller regel- bundet/upprepat för personbevakning. Detta innebär att lagstift- ningen får ett snävare och mer teknikneutralt tillämpningsområde än vad som gäller . Helt kortvarig personbevakning, där en enstaka identifierbar människa av en tillfällighet råkar passera i kamerans upp- tagningsområde, bör enligt denna syn inte anses som varaktig. Därmed omfattas exempelvis sådana rörliga kameror som riktats ut från ett fordon eller är monterade på en drönare endast av lagens tillämpningsområde om användningen innebär att människor regel- bundet passerar i kamerans upptagningsområde på ett sätt som gör dem möjliga att identifiera. Förslaget bereds inom . PuL och kameraövervakningslagen syftar till att skydda person- uppgifter. Men det finns även regler om datahantering som går tvärt- emot dessa båda lagstiftningar och tvärtom försöker göra information så tillgänglig som möjligt för alla invånare. I råder offentlig- hetsprincipen; en princip som genom att ge medborgarna rätt till in- syn, syftar till att motverka maktmissbruk och korruption. Offent- lighetsprincipen innebär att myndigheters verksamhet och rättsskip- ningen i så stor utsträckning ska vara öppen för insyn. Handlings- offentlighet är det viktigaste uttrycket för offentlighetsprincipen. Reglerna om detta finns i 2 kap. tryckfrihetsförordningen och ger medborgarna rätt att ta del av allmänna handlingar. Yttrandefrihet är också ett utflöde av offentlighetsprincipen. Dock finns det undantag från offentlighetsprincipen. Vissa uppgifter kan beläggas med sekre- tess och sekretessbelagda handlingar delar inte myndigheten med allmänheten. När något ska vara offentligt eller sekretessbelagt regle- ras i offentlighets- och sekretesslagen (2009:400). Med ”handling” avses en framställning i skrift eller bild och tek- niska upptagningar som kan uppfattas med tekniska hjälpmedel (2 kap. 3 § tryckfrihetsförordningen). Det är en handling så snart det är frågan om en form att lagra eller bevara upplysningar. En handling är allmän om den förvaras hos en myndighet och handlingen anses som inkommen eller upprättad hos myndigheten. Offentlighets- och sekretessfrågor blir främst aktuella om ett automatiserade fordon kommunicerar med en myndighet på något sätt och kommunikationen resulterar i en allmän handling. Detta skulle främst vara aktuellt inom ITS . Det finns till exem- pel också regler om sekretess vid kameraövervakning. Arkivlagen (1990:782) gäller bland annat för myndigheters arkiv. All- männa handlingar från myndighetens verksamhet ska sparas i myn- dighetens arkiv. Arkivlagen reglerar hur arkiven ska skötas och hur de ska gallras. Arkivlagen skulle kunna bli tillämplig om en eller stat- lig myndighet sparar personuppgifter som den får via uppkopplade fordon och det blir en allmän handling. 8.5.14Lag om elektronisk kommunikation I lagen om elektronisk kommunikation (2003:389) finns delvis implementering av datalagringsdirektivet och eDataskydds- direktivet. Lagen går före PuL i den delen. Som jag nämnde ovan är datalagringsdirektivet upphävt av och lagen om elektronisk kommunikation betraktas som en nationell lagstift- ning i den delen. omfattar alla slag av elek- tronisk kommunikation i elektroniska kommunikationsnät till exem- pel telefonnätet och internet. Lagen är teknikneutral i förhållande till vilken teknisk plattform som används. Av intresse för den här utredningen är bland annat bestämmel- serna i 16 kap. Av 3 § framgår att den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst är skyldig att skydda informationen och nätet. Det finns också en bestämmelse i 4 § om att enskilda aktörer har en skyldighet att redovisa it-incidenter57 till tillsynsmyndigheten. Huvudregeln är enligt 5 § att uppgifter ska utplånas eller lagras avidentifierade när de inte längre behövs för att överföra ett elektro- niskt meddelande, med vissa undantag.