sou · H6B362 · 2018-08-16 00:00:00 — ∙kartlägga behovet av förenklade regler vid kamerabevakning som sker i syfte att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, ∙föreslå förenklingar utifrån kartläggningen, med utgångspunkten att tillståndsplikten för kamerabevakning ska tas bort och i första hand ersättas med en anmälningsplikt, ∙överväga om det finns skäl för förenklade regler även när det gäller annan kamerabevakning än sådan som de ovan berörda myndigheterna bedriver i brottsbekämpande syfte, ∙analysera behovet av integritetsskyddande åtgärder när det blir enklare att använda kamerabevakning, och att ∙analysera vilka effekter förenklade möjligheter till kamerabevakning i brottsbekämpande syfte kommer att få för en effektiv tillsyn. Utredningens uppdrag och arbete Utredningens fullständiga uppdrag framgår av direktiven (dir. 2017:124), se bilaga. 2.2Något om bakgrunden till uppdraget har kamerabevakningslagen (2018:1200) trätt i kraft. Lagen ersätter den tidigare kameraövervakningslagen (2013:460). Regleringen innebär bl.a. att myndigheter fortsatt kommer att omfattas av ett tillståndskrav. Genom regleringen i kamerabevakningslagen har möjligheterna att få tillstånd till kamerabevakning i brottsbekämpande och trygghetsskapande syfte utökats. I lagstiftningsarbetet inför kamerabevakningslagen uttalade regeringen att den är angelägen om att sådan kamerabevakning som och vissa andra brottsbekämpande myndigheter bedriver inte försvåras om ett fullgott integritetsskydd kan uppnås på andra sätt. hade gett regeringen till känna att polisens tillståndskrav för kameraövervakning ska tas bort och ersättas av en anmälningsplikt. I propositionen till kamerabevakningslagen instämde regeringen i bedömningen att tillståndsplikten ska tas bort och i första hand ersättas av en anmälningsplikt. Regeringen konstaterade dock att frågan, som inte hade behandlats närmare av Utredningen om kameraövervakning – brottsbekämpning och integritetsskydd (SOU 2017:55), är komplex och att det inte hade varit möjligt att, inom ramen för regeringsformens beredningskrav, hinna ta fram förslag i lagstiftningsärendet. Regeringen hänvisade därefter till att denna utredning hade tillsatts och konstaterade att kamerabevakningslagen tills vidare skulle innehålla ett tillståndskrav som huvudregel för sådan kamerabevakning som omfattas av det nya dataskyddsdirektivets tillämpningsområde (prop. 2017/18:231 s. 58 f.). Uppdraget inrymmer överväganden inom ett komplext område, både juridiskt och tekniskt. Den nya EU-rättsliga dataskyddsregleringen och kamerabevakningslagen har dessutom inte tillämpats under den största delen av den tid som utredningen bedrivit sitt arbete. Att det rättsliga regelverket som utredningen har haft att Utredningens uppdrag och arbete förhålla sig till på så sätt har varit rörligt, har i sig inneburit en utmaning under utredningsarbetet. Utredningen har dessutom utförts under stor skyndsamhet. Utredningen1 har haft flera sammanträden med expertgruppen. För att närmare utreda myndigheternas eventuella behov av förenklade regler vid kamerabevakning i brottsbekämpande syfte har utredningen haft separata möten med , , och . I samma syfte har utredningen varit i kontakt med Kriminalvården, och . Vidare har ett möte hållits med Datainspektionen i syfte att få en bild av myndighetens syn på integritetsaspekter och på hur en effektiv tillsyn bör bedrivas om enklare regler för kamerabevakning införs. Slutligen har utredningen haft ett möte med . Syftet med det mötet var i huvudsak att få en inblick i forskningsläget kring kamerabevakning. För att få en bild av hur kamerabevakning fungerar i praktiken har utredningen genomfört ett studiebesök hos i . Under studiebesöket fick utredningen se en igångsatt kamerabevakning i ett särskilt utsatt område. Utredningen har också förevisats nationella kameraplattform, som varit under uppbyggnad . Slutligen har utredningen medverkat vid konferensen #TrygghetNu. Vid den konferensen behandlades frågan om hur brottsbekämpning och säkerhetsbehov bör viktas mot integritetsintresset i bl.a. kamerabevakningssammanhang. Den efterföljande delen av betänkandet är disponerad enligt följande. I avsnitt 3 finns en beskrivning av relevant gällande rätt. Avsnittet innehåller även en kortfattad internationell utblick. I avsnitt 4 presenteras viss relevant forskning på området. Efterföljande avsnitt utgörs av de mer analytiska delarna av betänkandet. Frågan om vilket integritetsskydd som den i huvudsak nya EU-rättsliga dataskyddsregleringen (inkluderat brottsdatalagen [2018:1177] och den av Utredningen om 2016 års dataskyddsdirektiv [SOU 2017:74] föreslagna Säkerhetspolisens datalag) förväntas 1Med utredningen avses i detta stycke den särskilda utredaren och/eller sekreterarna. Utredningens uppdrag och arbete medföra vid kamerabevakning har bäring på alla delar i våra överväganden och förslag. Vi inleder därför med att analysera den regleringen i avsnitt 5. I grunden handlar det om ett helt nytt EU-rättsligt regelverk. Hur regleringen kommer att tolkas och tillämpas är givetvis inte möjligt att med säkerhet veta. Våra analyser i den här delen måste ses mot den bakgrunden. I avsnitt 6 presenteras vår kartläggning och berörda brottsbekämpande myndigheters synpunkter på sina respektive behov av förenklade regler återges. I avsnitt 7 behandlas reformbehovet. Slutsatserna i avsnittet bygger i huvudsak på den behovsbild som framkommit vid vår kartläggning. Därefter följer avsnitt 8, i vilket frågan om tillståndsplikten bör tas bort analyseras. I avsnitt 9 övervägs om tillståndsplikten bör ersättas av en anmälningsplikt. I avsnitt 10 analyseras hur ett stärkt integritetsskydd kan uppnås vid en borttagen tillståndsplikt. Vilka effekter förenklade möjligheter till kamerabevakning kommer att få för en effektiv tillsyn analyseras i avsnitt 11. I avsnitt 12 finns våra överväganden kring ikraftträdande och vår analys av behovet av eventuella övergångsbestämmelser. Den sista delen av betänkandet utgörs av en konsekvensanalys, avsnitt 13, och en författningskommentar, avsnitt 14. Avslutningsvis bör nämnas att analysen av möjligheterna för myndigheter att samverka om kamerabevakning är integrerad i de olika avsnitten. Rätten till respekt för den personliga integriteten skyddas både av statens internationella åtaganden och av regeringsformen (RF). Detta avsnitt innehåller inledningsvis en översiktlig redogörelse för denna generella reglering. Därefter följer en kort beskrivning av vissa nationella bestämmelser som reglerar verksamheten hos de myndigheter som berörs av våra förslag. Vid kamerabevakning aktualiseras vidare de rättsakter och nationella bestämmelser som reglerar skyddet för personuppgifter. Stora delar av detta avsnitt ägnas åt att redogöra för EU:s generella dataskyddsreglering och de nationella författningar som denna gett upphov till. Eftersom vårt huvudsakliga uppdrag är att föreslå åtgärder som kan underlätta kamerabevakning i brottsbekämpande syfte kommer vi att inleda med att redogöra för dataskyddsdirektivet och brottsdatalagen (2018:1177) med dess kompletterande lagstiftning. Därefter redogör vi för dataskyddsförordningen, dess kompletterande nationella lagstiftning och motsvarande reglering för Säkerhetspolisen. EU:s dataskyddsreform har genomförts stegvis . När detta betänkande överlämnas har de registerförfattningar som ska komplettera brottsdatalagen ännu inte trätt i kraft. Detsamma gäller den nya regleringen för Säkerhetspolisens personuppgiftsbehandling. När vi nedan redogör för respektive författning kommer vi också att beskriva hur vi har förhållit oss till detta i betänkandet. Vi redogör också för bestämmelserna i kamerabevakningslagen (2018:1200) och de mest betydande förändringarna för kamerabevakning som denna lag innebär jämfört med tidigare reglering på området. Avslutningsvis finns en kort internationell utblick. 3.2Generell reglering om skydd för den personliga integriteten Rätten till respekt för den personliga integriteten ingår som en del i rätten till respekt för privatlivet enligt den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Av artikel 8 i följer att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. är inkorporerad i svensk rätt genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna. Av 2 kap. 19 § RF framgår att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av . Inom antogs en konvention (nr 108) om skydd för enskilda vid automatisk databehandling av personuppgifter, den s.k. dataskyddskonventionen. Konventionens syfte är att säkerställa den enskildes rätt till personlig integritet i samband med automatiserad behandling av personuppgifter. Regleringen kan ses som en precisering av skyddet enligt artikel 8 i när det gäller automatiserad behandling av personuppgifter. Samtliga medlemsstater i EU har tillträtt konventionen. Inom pågår en översyn av konventionen. 3.2.3EU:s stadga om de grundläggande rättigheterna Enligt artikel 6.1 i fördraget om Europeiska unionen ska EU:s stadga om de grundläggande rättigheterna (stadgan) ha samma rättsliga värde som fördragen. I stadgans artikel 7 föreskrivs att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. Av artikel 8 följer vidare att var och en har rätt till skydd för personuppgifter. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Vidare har var och en rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs. Av artikel 51 framgår att stadgan riktar sig till medlemsstaterna när de tillämpar unionsrätten. Enligt artikel 52 måste varje begränsning i utövandet av de fri- och rättigheter som erkänns i stadgan vara föreskriven i lag och vara förenlig med det väsentliga innehållet i dessa fri- och rättigheter. Begränsningar får, med beaktande av proportionalitetsprincipen, göras endast om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors fri- och rättigheter. I den mån en rättighet som erkänns i stadgan motsvarar en rättighet som också garanteras i ska rättigheten i stadgan ha samma innebörd och räckvidd som i konventionen. Av målsättningsstadgandet i 1 kap. 2 § RF framgår att den offentliga makten ska utövas med respekt för den enskilda människans frihet och värdighet samt att det allmänna ska värna den enskildes privatliv och familjeliv. Vidare följer av 2 kap. 6 § andra stycket RF att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Begränsningar i denna rättighet får endast göras i lag och under de förutsättningar som anges i 2 kap. 21 och 22 §§ RF. Av dessa bestämmelser följer bl.a. att begränsningar endast får ske för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får heller aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. 3.3Några principer om proportionalitet m.m. i vissa brottsbekämpande myndigheters verksamheter De grundläggande reglerna om polisens uppgifter, organisation och befogenheter är samlade i polislagen (1984:387). I 8 § den lagen finns de s.k. ändamåls-, behovs- och proportionalitetsprinciperna för polisingripanden. Av bestämmelsens första stycke framgår att en polisman som ska verkställa en tjänsteuppgift ska, under iakttagande av vad som föreskrivs i lag eller annan författning, ingripa på ett sätt som är försvarligt med hänsyn till åtgärdens syfte och övriga omständigheter. Om tvång måste tillgripas ska detta ske endast i den form och den utsträckning som behövs för att det avsedda resultatet ska uppnås. Av bestämmelsens andra stycke framgår att ett ingripande som begränsar någon av de grundläggande fri- och rättigheter som avses i 2 kap. RF inte får grundas enbart på bestämmelserna i första stycket. Med polisman avses, enligt 4 § polislagen, en tjänsteman vid eller Säkerhetspolisen, om regeringen inte föreskriver något annat. Behovsprincipen innebär i detta sammanhang att ett polisingripande endast får ske då det är nödvändigt för den aktuella farans eller störningens avvärjande eller undanröjande. Proportionalitetsprincipen innebär att de skador och olägenheter som ingripandet kan medföra för ett motstående intresse inte får stå i missförhållande till syftet med ingripandet (och , Polislagen. En kommentar, Zeteo, version , kommentaren till 8 §). Tullagen (2016:253) innehåller bl.a. vissa bestämmelser om tullkontroll och tullövervakning vid in- och utförsel av varor till eller från det svenska tullområdet. Enligt 4 kap. 1 § den lagen gäller som allmän princip att ett beslut om en kontrollåtgärd enligt tullagstiftningen endast får fattas om skälen för åtgärden uppväger det intrång eller men i övrigt som åtgärden innebär för den enskilde. Lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen innehåller bestämmelser om befogenheter vid införsel eller utförsel över gräns mot ett annat land inom EU. Av lagens 2 § följer att kontroller enligt den lagen inte får utformas på sådant sätt att urvalet av vad och vem som kontrolleras sker slumpmässigt. Lagen (1982:395) om medverkan vid polisiär övervakning gäller, enligt 1 §, när bedriver övervakning bl.a. till havs och i kustvattnen för att hindra brott mot föreskrifter i lagar och andra författningar som gäller bl.a. fiske, trafikregler och säkerhetsanordningar för sjötrafiken eller åtgärder mot vattenföroreningar från fartyg. Enligt 8 § den lagen får en kustbevakningstjänsteman för att verkställa en åtgärd enligt lagen inte använda strängare medel än förhållandena kräver. 3.4.1Dataskyddsdirektivet och brottsdatalagen med kompletterande författningar antogs och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. I fortsättningen kommer vi i vårt betänkande att kalla denna rättsakt för dataskyddsdirektivet eller direktivet. Av artikel 1.1 framgår att direktivet innehåller bestämmelser om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Även sådan personuppgiftsbehandling som utförs hos behöriga myndigheter för att skydda mot, förebygga och förhindra hot mot den allmänna säkerheten ingår i tillämpningsområdet. Syftet med direktivet är, enligt artikel 1.2, att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Ytterligare ett syfte är att säkerställa att det utbyte av personuppgifter som krävs inom unionen mellan behöriga myndigheter varken begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. Medlemsstaterna får, enligt artikel 1.3, föreskriva starkare skyddsåtgärder för skyddet av den registrerades rättigheter och friheter än de som har fastställts i direktivet. Brottsdatalagen med kompletterande författningar Dataskyddsdirektivet har huvudsakligen genomförts i svensk rätt genom en ny ramlag, brottsdatalagen (2018:1177), som trädde i kraft . Lagen kompletteras av en förordning – brottsdataförordningen (2018:1202) – som genomför vissa detaljbestämmelser i direktivet. Av 1 kap. 3 § brottsdatalagen framgår att lagen gäller vid bl.a. sådan behandling av personuppgifter som är helt eller delvis automatiserad. Enligt 1 kap. 2 § gäller lagen vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. Med behörig myndighet avses, enligt 1 kap. 6 §, bl.a. en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, när myndigheten behandlar personuppgifter för ett sådant syfte. Brottsdatalagen gäller dock inte vid behandling av personuppgifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Detta framgår av 1 kap. 4 §. Enligt förarbetena rör Säkerhetspolisens verksamhet i princip uteslutande nationell säkerhet och ligger i allt väsentligt utanför dataskyddsdirektivets tillämpningsområde (SOU 2017:74 s. 593 och prop. 2017/18:232 s. 103). Av 1 kap. 5 § brottsdatalagen framgår att avvikande bestämmelser i annan lag eller förordning gäller i stället för bestämmelserna i den lagen. Regeringen har föreslagit att särreglering för den personupp- giftsbehandling som utförs av myndigheter i rättskedjan även fortsättningsvis ska finnas i särskilda registerförfattningar. Enligt regeringens förslag ska myndigheternas kompletterande registerförfattningar gälla utöver brottsdatalagen och enbart innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från den lagen. Förändringarna föreslås träda i kraft (se prop. 2017/18:269). När vi i vårt betänkande hänvisar till dessa författningar är det därmed regeringens förslag i nämnda proposition som avses. Enligt regeringens förslag ska lagen om polisens behandling av personuppgifter inom brottsdatalagens område (förkortad polisens brottsdatalag) gälla utöver brottsdatalagen när i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Lagen föreslås även gälla för Säkerhetspolisen i frågor som inte rör nationell säkerhet, om uppgifterna behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott (1 kap. 1 §). Regeringen föreslår vidare att lagen om behandling av personuppgifter inom brottsdatalagens område (förkortad brottsdatalag) ska gälla utöver brottsdatalagen när i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet (1 kap. 1 §). På motsvarande sätt föreslås lagen om behandling av personuppgifter inom brottsdatalagens område (förkortad brottsdatalag) gälla utöver brottsdatalagen när i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott (1 kap. 1 §). Grundläggande krav på personuppgiftsbehandlingen De tillåtna rättsliga grunderna för , och personuppgiftsbehandling inom dataskyddsdirektivets område föreslås framgå av respektive myndighets registerförfattning. Enligt förslaget till 2 kap. 1 § polisens brottsdatalag och 2 kap. 1 § datalag får personuppgifter behandlas om det är nödvändigt för att de myndigheter som omfattas av regleringen ska kunna förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, upprätthålla allmän ordning och säkerhet eller fullgöra förpliktelser som följer av internationella åtaganden. Enligt förslaget till 2 kap. 1 § brottsdatalag får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller fullgöra förpliktelser som följer av internationella åtaganden. Personuppgifter får, enligt 2 kap. 3 § brottsdatalagen, behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål (principen om ändamålsbegränsning). Av 2 kap. 4 § första stycket framgår att innan personuppgifter får behandlas för ett nytt ändamål ska det säkerställas att det finns en rättslig grund enligt brottsdatalagen för den nya behandlingen och att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Innan personuppgifter får behandlas för ändamål utanför brottsdatalagens tillämpningsområde ska det, enligt 2 kap. 22 första stycket, säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det ändamålet. Av respektive paragrafs andra stycke följer att någon prövning av nödvändighet och proportionalitet inte behöver göras i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning. Av 2 kap. 6 § brottsdatalagen framgår att personuppgifter ska behandlas författningsenligt och på ett korrekt sätt (principerna om laglighet och korrekthet). I förarbetena till dataskyddslagen och brottsdatalagen framför regeringen att det vid en jämförelse med andra språkversioner kan ifrågasättas om den svenska termen korrekt motsvarar avsikten med bestämmelsen. Exempelvis används i den engelska språkversionen termen ”fairly”, vilket betyder rättvist, skäligt eller rimligt. De termer som används i den engelska, men även exempelvis den danska och franska språkversionen, indikerar enligt regeringens mening tydligare än den svenska termen korrekt att en intresseavvägning ska göras (prop. 2017/18:105 s. 47 och 2017/18:232 s. 142 och 143). De personuppgifter som behandlas ska, enligt 2 kap. 8 § brottsdatalagen, vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte heller behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (principen om uppgiftsminimering). Personuppgifter får inte heller, enligt 2 kap. 17 §, behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen (principen om lagringsminimering). Om det inte är föreskrivet i lag eller annan författning när en viss kategori av personuppgifter inte längre får behandlas för ändamål inom brottsdatalagens tillämpningsområde, ska den personuppgiftsansvarige se över behovet av att fortsätta behandla personuppgifterna. Detta framgår av 2 kap. 18 §. Brottsdatalagens tredje kapitel reglerar den personuppgiftsansvariges skyldigheter. Av 3 kap. 1 § framgår att den personuppgiftsansvarige är ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Den personuppgiftsansvarige ska vidare, enligt 3 kap. 2 §, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas (principen om ansvarsskyldighet). I 3 kap. 3 och 4 §§ finns bestämmelser om inbyggt dataskydd respektive dataskydd som standard.