sou · H6B362 · 2018-08-16 00:00:00 — Det måste därutöver finnas en tillåten rättslig grund för kamerabevakningen enligt tillämplig dataskyddsreglering. Bevakningen måste också uppfylla de övriga krav som dataskyddsregleringen ställer på personuppgiftsbehandling i form av bl.a. lagringsminimering, säkerhetsåtgärder och åtkomstbegränsningar (se avsnitt 3.4 och 5). Bedömningen av om intresset av bevakning överväger integritetsintresset ska inte heller förväxlas med de konsekvensbedömningar som enligt dataskyddregleringen är obligatoriska i vissa situationer (se avsnitt 3.4 och 5.2.3). Bedömningen gentemot överviktsprincipen bör – bl.a. tillsammans med en bedömning av den rättsliga grunden för bevakningen – göras i ett första skede och vara en prövning av om bevakningen över huvud taget kan vara tillåten. Först när myndigheten har konstaterat att bevakningsintresset överväger integritetsintresset bör det bli aktuellt att bedöma om det finns sådana särskilda risker med bevakningen att en konsekvensbedömning ska genomföras. En annan sak är att en konsekvensbedömning troligtvis kommer att innehålla till viss del liknande överväganden som bedömningen enligt överviktsprincipen, exempelvis behovet av och proportionaliteten i den tilltänkta bevakningen eller riskerna för intrång i registrerades personliga integritet (jfr artikel 35.7 i dataskyddsförordningen, 3 kap. 8 § brottsdataförordningen [2018:1202] och förslaget till 4 kap. 6 § Säkerhetspolisens dataförordning). Ett förstärkt integritetsskydd när tillståndskravet tas bort 10.7.1Den generella dataskyddsregleringen saknar ett tydligt dokumentationskrav för en kamerabevaknings tillåtlighet I både dataskyddsdirektivet och dataskyddsförordningen finns principen om ansvarsskyldighet. Principen innebär att den personuppgiftsansvarige ska ansvara för och kunna visa att personuppgifter har behandlats i enlighet med tillämplig dataskyddsreglering (artikel 4.4 respektive artikel 5.2). Som vi redogjort för i avsnitt 5.2.7 bör principen ge den som bedriver kamerabevakning incitament att dokumentera de överväganden och bedömningar som gjorts enligt tillämpliga dataskyddsbestämmelser. Både brottsdatalagen och förslaget till Säkerhetspolisens datalag innehåller vidare bestämmelser som innebär att den som bedriver kamerabevakning genom lämpliga tekniska och organisatoriska åtgärder ska säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att registrerades rättigheter skyddas (3 kap. 2 § respektive 5 kap. 1 §). Som framgår av förarbetena till brottsdatalagen kan dokumentation av exempelvis it-system, behandlingar och vidtagna åtgärder vara sätt att visa att behandlingen är författningsenlig (prop. 2017/18:232 s. 453). Slutligen är den personuppgiftsansvarige skyldig att föra en förteckning över de personuppgiftsbehandlingar som utförs (artikel 30 i dataskyddsförordningen, 3 kap. 3 § brottsdataförordningen respektive förslaget till 4 kap. 4 § Säkerhetspolisens dataförordning). Av denna förteckning ska bl.a. ändamålen med behandlingen samt kategorier av personuppgifter, registrerade och mottagare framgå. Det är i skrivande stund oklart hur principen om ansvarsskyldighet ska tolkas och vad det praktiskt innebär att den personuppgiftsansvarige ska kunna visa att den personuppgiftsbehandling som utförts är förenlig med dataskyddsregleringen. Utifrån att det är kategorier av uppgifter som ska framgå av den förteckning som varje personuppgiftsansvarig ska föra över personuppgiftsbehandlingar bedömer vi vidare att dessa förteckningar förs på en mer övergripande nivå. Förteckningarna kommer till följd av detta troligtvis inte att ge en tydlig bild av de överväganden som gjorts kring en specifik behandlings tillåtlighet. Det är även troligt att mer detaljerade uppgifter om myndigheternas kamerabevakning, såsom vilka Ett förstärkt integritetsskydd när tillståndskravet tas bort områden som bevakas eller under vilka tider detta sker, inte heller kommer att framgå av dessa förteckningar. Vi anser mot den bakgrunden att det av den generella dataskyddsregleringen inte klart följer att de berörda myndigheterna ska dokumentera sina överväganden kring en kamerabevaknings tillåtlighet. Det finns enligt vår mening därför anledning att överväga om det ska införas ett sådant dokumentationskrav i kamerabevakningslagen. Ett sådant krav är enligt vår bedömning förenligt med den generella dataskyddsregleringen enligt de överväganden som vi gjort gällande en bibehållen överviktsprincip i sig (se avsnitt 10.6.2). 10.7.2Myndigheternas bedömningar enligt överviktsprincipen ska dokumenteras Vårt förslag: Myndigheternas bedömningar av om intresset av kamerabevakning väger tyngre än den enskildes intresse av att inte bli bevakad ska dokumenteras. Vi anser att ett dokumentationskrav gällande de överväganden som gjorts av en kamerabevaknings tillåtlighet har flera fördelar. Främst ger en tydlig dokumentation en fördel för tillsynen, eftersom tillsynsmyndigheten inte skulle behöva avvakta att den personuppgiftsansvarige sammanställer omständigheter och bedömningar kring en personuppgiftsbehandling. I stället skulle utgångspunkten vara att dessa uppgifter ska finnas tillgängliga för tillsynsmyndigheten direkt vid en förfrågan. Enligt vår bedömning är en effektiv tillsyn av stor vikt när tillståndskravet tas bort och ansvaret för att de kamerabevakningar som bedrivs är författningsenliga huvudsakligen flyttas över till de bevakande myndigheterna (se vidare avsnitt 11.5). Ett uttryckligt dokumentationskrav för hur myndigheterna tillämpat överviktsprincipen skulle enligt vår mening dessutom tydliggöra myndigheternas skyldighet att väga bevakningsintresset mot integritetsintresset. Det skulle också säkerställa att de omständigheter som vägts mot varandra i det enskilda fallet klart framgår. Ett argument mot att införa ett dokumentationskrav avseende överviktsprincipen skulle kunna vara att det innebär viss ytterligare administration. Enligt vår mening bör det dock vara i själva tillämpningen av överviktsprincipen som den största administrativa bördan Ett förstärkt integritetsskydd när tillståndskravet tas bort Vi anser därför att den administrativa belastning som ett tillkommande dokumentationskrav medför inte ska överdrivas. Vi har i avsnitt 10.6.3 gjort bedömningen att den administration som en bibehållen överviktsprincip i sig kan innebära övervägs av den förutsägbarhet och det tydliggörande av intresseavvägningen som principen medför. Ett dokumentationskrav av myndigheternas överväganden kring överviktsprincipen skulle ligga i linje med utgångspunkterna för den generella dataskyddsregleringen. Kamerabevakning är vidare en typ av personuppgiftsbehandling som medför särskilda risker i integritetshänseende. Det är enligt vår mening därmed rimligt att myndigheterna dokumenterar de överväganden de gör kring bevakningens tillåtlighet. Vi anser mot den bakgrunden att det av kamerabevakningslagen uttryckligen bör framgå att myndigheterna ska dokumentera sina bedömningar av om intresset av kamerabevakning väger tyngre än den enskildes intresse av att inte bli bevakad. Denna dokumentation bör innehålla en beskrivning av den rättsliga grunden för och ändamålen med bevakningen samt de överväganden som har gjorts kring bevakningsrespektive integritetsintresset (jfr avsnitt 10.6.5). 10.8.1Syftet med administrativa sanktionsavgifter Administrativa sanktionsavgifter är en nyhet i EU:s nya dataskyddsreglering. På både brottsdatalagens och dataskyddsförordningens område har tillsynsmyndigheten fått möjlighet att ta ut sanktionsavgifter av svenska myndigheter vid överträdelser av de flesta bestämmelser som har betydelse för den personliga integriteten (6 kap. 1 § brottsdatalagen och 6 kap. 2 § lagen [2018:218] med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen). har samma möjlighet att ta ut sanktionsavgifter enligt brottsdatalagens respektive förordningens bestämmelser vid kamerabevakning som vid annan personuppgiftsbehandling. Sanktionsavgifter kan därmed komma i fråga exempelvis om kamerabevakningen saknar rättslig grund eller om upptagningarna från en bevakning bevaras längre än vad som behövs med hänsyn till det specifika ändamålet med bevakningen. Därutöver kan tillsynsmyndigheten besluta om sanktionsavgifter vid överträdelser Ett förstärkt integritetsskydd när tillståndskravet tas bort av bl.a. kamerabevakningslagens tillstånds- eller upplysningskrav (se avsnitt 3.4 och 3.5). Av skälen till dataskyddsförordningen framgår att syftet med sanktionsavgifterna är att stärka verkställigheten av förordningens bestämmelser (skäl 148). Av förarbetena till brottsdatalagen framgår vidare att sanktionsavgifterna har tillkommit för att verka avskräckande och för att skapa en kännbar ekonomisk sanktion mot juridiska personer, som inte kan bli föremål för straffrättsliga åtgärder (prop. 2017/18:232 s. 313–317). 10.8.2Sanktionsavgifter vid överträdelser av skyldigheten att göra en bedömning enligt överviktsprincipen Vårt förslag: ska få ta ut en sanktionsavgift av de berörda myndigheterna om de bryter mot kravet på att göra en bedömning av om intresset av kamerabevakning väger tyngre än den enskildes intresse av att inte bli bevakad. I dessa fall ska den lägre avgiftsnivå som föreskrivs i brottsdatalagen respektive dataskyddslagen tillämpas. Att tillståndsplikten tas bort kan innebära vissa risker ur ett integritetsperspektiv. Dessa risker uppvägs dock i hög grad av den generella dataskyddsregleringen (se avsnitt 5, 8 och 9). Det faktum att överviktsprincipen fortsatt ska gälla för myndigheternas kamerabevakning ger ett ytterligare skydd. Utöver detta skulle den typ av administrativa sanktionsavgifter som finns i den generella dataskyddsregleringen kunna utgöra ett incitament för den kamerabevakande myndigheten att följa regleringen. Sådana sanktionsavgifter bör också bidra till att ge tillsynsverksamheten ytterligare tyngd. När bedömningen av en kamerabevaknings tillåtlighet överlåts till myndigheterna själva skulle sanktionsavgifter därmed kunna bidra till att skapa ett kompletterande skydd för den personliga integriteten. Det faktum att intresseavvägningen mellan bevaknings- och integritetsintresset har så stor betydelse för den personliga integriteten talar enligt vår mening också för att överträdelser av kravet på att göra en sådan avvägning ska kunna medföra en administrativ sanktionsavgift. Som vi nämnt kan vidare tillståndspliktig kamerabevakning som bedrivs utan tillstånd eller som bedrivs utöver de villkor som Ett förstärkt integritetsskydd när tillståndskravet tas bort föreskrivits för ett tillstånd leda till sanktionsavgifter. Enligt vårt förslag är det de berörda myndigheterna själva som ska göra den bedömning enligt överviktsprincipen som görs inom ramen för tillståndsförfarandet. Det bör enligt vår mening vara en rimlig utgångspunkt att det fortsatt ska finnas ett tillkommande integritetsskydd i form av sanktionsavgifter för dessa bedömningar. Vi föreslår därför att en sanktionsavgift ska få tas ut av den kamerabevakande myndigheten om myndigheten bryter mot kravet på att göra en bedömning enligt överviktsprincipen. Vi har föreslagit att en bedömning enligt överviktsprincipen ska göras innan en kamerabevakning påbörjas, innan myndigheten genomför en betydande förändring avseende en redan pågående bevakning och om omständigheterna kring en bevakning i annat fall ändras på ett betydande sätt. I vissa fall kommer myndigheterna alltså att behöva göra en bedömning av om förhållandena är sådana att det krävs en ny överviktsbedömning. Sanktionsavgiften är kopplad till själva förekomsten av en bedömning. Avgift skulle därmed kunna komma i fråga exempelvis om den kamerabevakande myndigheten felaktigt bedömer att en genomförd förändring inte är betydande. På så sätt knyter våra förslag an till den generella dataskyddsregleringens systematik för sanktionsavgifter vid en utebliven konsekvensbedömning (3 kap. 7 § första stycket och 6 kap. 1 § första stycket brottsdatalagen samt artikel 35.1 och 83.4 i dataskyddsförordningen). I den regleringen är sanktionsavgiften på ett liknande sätt kopplad till den personuppgiftsansvariges bedömning av om förutsättningarna för att vidta en särskild åtgärd – konsekvensbedömning – är tilllämpliga. Myndigheten ska i det fallet bedöma om en behandling medför en särskild risk för intrång i bl.a. den personliga integriteten (se avsnitt 3.4). Om en riskbedömning har lett till att någon konsekvensbedömning inte genomförts bör en sanktionsavgift kunna komma i fråga om tillsynsmyndigheten anser att förutsättningarna för att göra en konsekvensbedömning varit uppfyllda. Det ska dock poängteras att det enligt vårt förslag är avsaknaden av en intresseavvägning enligt överviktsprincipen – och inte myndigheternas bedömning av intresseavvägningens utfall – som kan medföra en sanktionsavgift (för den senare situationen, se avsnitt 10.8.3). Tanken bör dock vara att bedömningen enligt överviktsprincipen ska ge information om de omständigheter som ligger bakom bevakningsbehovet och hur myndigheten vägt detta mot den enskildes intresse Ett förstärkt integritetsskydd när tillståndskravet tas bort av att inte blir bevakad. En alltför bristfällig bedömning skulle inte ge sådan ledning och bör i yttersta fall kunna likställas med att en bedömning inte gjorts. Som ett tydligt exempel kan nämnas en bedömning som endast innebär att myndigheten fastställer vilket ändamål bevakningen har och konstaterar att detta ändamål överväger integritetsintresset. Frågan är därefter vilken avgiftsnivå som ska gälla för sanktionsavgiften vid överträdelse av skyldigheten att göra en bedömning enligt överviktsprincipen. Regeringen har i förarbetena till kamerabevakningslagen uttalat att nivån på sanktionsavgifterna av enhetlighetsskäl bör vara densamma vid överträdelser av kamerabevakningslagen som vid överträdelser av motsvarande bestämmelser i den generella personuppgiftsregleringen (prop. 2017/18:231 s. 118). Eftersom tillståndskravet har ansetts utgöra en precisering av bestämmelserna om konsekvensbedömning och förhandssamråd har avgiftsnivån för överträdelser som rör tillståndskravet satts till samma avgiftsnivå (26 § kamerabevakningslagen, se även prop. 2017/18:231 s. 73). Detta är den lägre avgiftsnivån enligt brottsdatalagen och dataskyddslagen, med ett maxbelopp om . När den kamerabevakande myndigheten själv ska göra den bedömning som tillståndsmyndigheten gör inom ramen för ett tillståndsärende bör enligt vår mening de sanktionsavgifter en överträdelse kan medföra tillhöra samma avgiftsnivå. Vi föreslår därför att brottsdatalagens respektive dataskyddslagens lägre avgiftsnivå ska tillämpas om den kamerabevakande myndigheten bryter mot kravet på att göra en bedömning av om intresset av kamerabevakning väger tyngre än den enskildes intresse av att inte bli bevakad. 10.8.3Inga ytterligare sanktionsavgifter ska införas i kamerabevakningslagen Vår bedömning: Det bör inte införas några ytterligare möjligheter för tillsynsmyndigheten att ta ut sanktionsavgifter vid överträdelser av kamerabevakningslagens bestämmelser. Det kan övervägas om tillsynsmyndigheten även ska få möjlighet att ta ut sanktionsavgift om den kamerabevakande myndigheten underlåtit att dokumentera en bedömning enligt överviktsprincipen. Ett förstärkt integritetsskydd när tillståndskravet tas bort vibedömt i avsnitt 10.7 medför dokumentationskravet gällande överviktsprincipen att tillsynen kan ske på ett effektivt sätt. Dokumentationskravet bör på det viset medföra ett skydd för den personliga integriteten. De berörda myndigheterna bör dock ha ett stort eget intresse av att dokumentera den intresseavvägning de gjort, bl.a. eftersom avsaknad av en sådan bedömning enligt vårt förslag kan leda till administrativa sanktionsavgifter. Ur ett integritetsperspektiv bör det dessutom vara myndigheternas bedömningar enligt överviktsprincipen, och inte dokumentationen av dem, som är det centrala när tillståndskravet försvinner. Mot den bakgrunden anser vi att tillsynsmyndigheten inte bör få möjlighet att ta ut sanktionsavgifter vid utebliven dokumentation av de bedömningar som myndigheterna gjort enligt överviktsprincipen. Det kan även övervägas om tillsynsmyndigheten ska få möjlighet att ta ut sanktionsavgift om den kamerabevakande myndigheten har gjort en felaktig bedömning beträffande överviktsprincipens utfall. Som framgått i föregående avsnitt bör sanktionsavgifterna vid överträdelser av kamerabevakningslagens bestämmelser knyta an till motsvarande bestämmelser i den generella dataskyddsregleringen (se prop. 2017/18:231 s. 118). Möjligheten att ta ut sanktionsavgifter i liknande situationer enligt de regelverken är därför av intresse. En bedömning enligt överviktsprincipen innebär att den kamerabevakande myndigheten gör en avvägning mellan bevaknings- och integritetsintresset. I den generella dataskyddsregleringen görs en intresseavvägning troligtvis i enlighet med principen om korrekthet (se avsnitt 5.2.4). Principen finns i såväl brottsdatalagen och förslaget till Säkerhetspolisens datalag som i dataskyddsförordningen. Möjligheterna att ta ut sanktionsavgift vid överträdelser av principen om korrekthet ser dock olika ut i dessa regleringar. Enligt brottsdatalagen får sanktionsavgifter inte tas ut vid överträdelser av principen (6 kap. 1 §) och i förslaget till Säkerhetspolisens datalag finns inte någon möjlighet till sanktionsavgifter överhuvudtaget. På förordningens område får tillsynsmyndigheten dock påföra sanktionsavgifter vid överträdelser av artikel 5.1, där principen om korrekthet framgår (artikel 83.5). De berörda myndigheternas kamerabevakning bedrivs till stor del ibrottsbekämpande syfte eller i syfte att säkerställa den allmänna säkerheten och därmed inom brottsdatalagens respektive den före- Ett förstärkt integritetsskydd när tillståndskravet tas bort slagna Säkerhetspolisens datalags tillämpningsområde. När en särreglering skapas för dessa myndigheter bör det enligt vår mening därför vara rimligt att knyta an till de möjligheter att ta ut sanktionsavgifter som finns i den regleringen. Som framgått finns möjlighet att ta ut sanktionsavgifter vid överträdelser av principen av korrekthet enbart på det förordningsstyrda området. Detta talar mot att en felaktig bedömning enligt överviktsprincipen – gällande sådan kamerabevakning som ryms inom det direktivstyrda området – ska sanktioneras. Ett alternativ skulle då vara att ge möjlighet till sanktionsavgifter endast på det förordningsstyrda området och inte på det direktivstyrda. Utgångspunkten för våra förslag är dock att skapa en sammanhållen reglering för de berörda myndigheternas kamerabevakning (se avsnitt 6.4 och 8.3.1). bör mot den bakgrunden inte få möjlighet att ta ut sanktionsavgifter för det fall myndigheterna gjort en felaktig bedömning av en kamerabevaknings tillåtlighet enligt överviktsprincipen. I detta sammanhang finns dock anledning att påminna om att dataskyddsregleringen ger tillsynsmyndigheten stora möjligheter att ingripa på andra sätt mot en kamerabevakning som inte anses vara författningsenlig, exempelvis genom påpekanden, förelägganden och förbud. Den myndighet som bedriver kamerabevakning kan dessutom bli föremål för sanktionsavgifter vid överträdelser av dataskyddsförordningen eller brottsdatalagen med dess tillhörande föreskrifter (se avsnitt 3.4). Även om några sanktionsavgifter enligt kamerabevakningslagen inte kan påföras för en felaktig bedömning enligt överviktsprincipen, skulle sanktionsavgifter därmed kunna komma i fråga enligt övrig dataskyddsreglering om den bevakande myndigheten gjort sig skyldig till en annan överträdelse av denna reglering. På dataskyddsförordningens tillämpningsområde kvarstår alltså möjligheten att besluta om sanktionsavgift om en myndighet brutit mot förordningens princip om korrekthet som myndigheten gjort en felaktig bedömning enligt överviktsprincipen. På både förordningens och brottsdatalagens område skulle sanktionsavgifter också exempelvis kunna komma i fråga om den myndighet som anses ha gjort en felaktig bedömning utifrån överviktsprincipen saknar en giltig rättslig grund för den kamerabevakning den utför. Ett förstärkt integritetsskydd när tillståndskravet tas bort Kamerabevakningslagen innehåller bestämmelser om både permanenta och tillfälliga undantag från tillståndskravet. Vi har i avsnitt 8.3.2 redogjort för de följdändringar av dessa bestämmelser som krävs vid en borttagen tillståndsplikt. I detta avsnitt analyserar vi behovet av att behålla de lättnader som finns för de berörda myndigheternas kamerabevakning i vissa situationer och som kommer till uttryck genom de nämnda undantagen från tillståndsplikten. Vårt förslag: Från kravet på att tillämpa kamerabevakningslagens överviktsprincip ska göras undantag för automatiska hastighetsbevakning på ett sätt som motsvarar undantaget från tillståndsplikten för sådan bevakning. Detsamma gäller för de undantag som rör , , och möjligheter att bevaka skyddsobjekt eller använda sig av kameror för säkerheten i trafiken eller arbetsmiljön. I 9 § kamerabevakningslagen finns bestämmelser om permanenta undantag från tillståndskravet. Tre av dessa undantag har betydelse för de berörda myndigheternas verksamhet. Enligt 9 § 1 krävs inte tillstånd vid bevakning som bedriver vid automatisk hastighetsövervakning. Enligt 9 § 2 krävs tillstånd inte heller vid bevakning som sker för att skydda en byggnad, en annan anläggning eller ett område som enligt 4 § 4, 5 § 1–5 eller 6 § första stycket skyddslagen (2010:305) har förklarats vara skyddsobjekt, om bevakningen endast omfattar skyddsobjektet eller ett område i dess omedelbara närhet. Av 22 § första stycket skyddslagen följer att det är den som äger eller nyttjar ett skyddsobjekt som har ansvar för att objektet bevakas. Det förekommer att , , Säkerhetspolisen eller äger eller nyttjar sådana byggnader eller anläggningar. Som exempel kan nämnas att Säkerhetspolisens huvudkontor och vissa polisstationer har förklarats vara skyddsobjekt. Ett förstärkt integritetsskydd när tillståndskravet tas bort Enligt 9 § 9 krävs tillstånd inte vid bevakning som sker för säkerheten i trafiken eller arbetsmiljön från ett fordon, en maskin eller liknande för att förbättra sikten för föraren eller användaren. Detta undantag omfattar exempelvis sådana backkameror som aktiveras när föraren backar ett fordon (se prop. 2017/18:231 s. 80). Det förekommer naturligtvis att de myndigheter som berörs av våra förslag använder sig av den typen av kameror. Av förarbetena till kamerabevakningslagen framgår att den som bedriver kamerabevakning som inte omfattas av tillståndskravet måste se till att bevakningen är förenlig med den generella dataskyddsregleringen (prop. 2017/18:231 s. 78). Kamerabevakningslagens undantag från tillståndskravet bör alltså innebära att ska bedöma rätten att bedriva automatisk hastighetsbevakning utifrån tillämplig dataskyddsreglering. På samma sätt bör myndigheterna se till att den icke-tillståndspliktiga kamerabevakning av skyddsobjekt som de ansvarar för är förenlig med denna reglering. Detsamma gäller sådana kameror som tar sikte på bevakning som sker för säkerheten i trafiken eller arbetsmiljön. Som vi redogjort för tidigare innehåller dataskyddsregleringen inte någon sådan uttrycklig överviktsprincip som vi föreslagit för de berörda myndigheternas kamerabevakning (avsnitt 5.2.4). För att inte försämra möjligheter att bedriva automatisk hastighetsövervakning eller myndigheternas möjlighet att bevaka skyddsobjekt respektive använda sig av kameror för trafiksäkerhetsändamål föreslår vi därför att kamerabevakningslagens överviktsprincip inte ska gälla när de myndigheter som omfattas av våra förslag bedriver kamerabevakning i dessa syften.