sou · H9B392 · 2021-11-30 00:00:00 — Exempel på situa- tioner som undantaget är avsett att vara tillämpligt vid är våldsamma sammandrabbningar på offentliga platser, terrorangrepp eller andra plötsliga händelser som innefattar en risk för allvarlig brottslighet. När bevakning av sådana händelser ska ske från drönare eller annars från luften, dvs. med luftfartyg, är det ofta inte möjligt att upplysa om kameraanvändningen. Till skillnad mot hemlig kameraövervak- ning där själva poängen med övervakningen är att den sker dolt hand- lar det alltså enligt motiven om fall där kamerabevakning sker på ett öppet sätt men där de praktiska möjligheterna att upplysa om bevak- ningen är mycket små. Undantaget innefattar inte en rätt att försöka dölja kamerabevakningen eller att använda den som ett led i en på- gående förundersökning. I kravet på att undantaget bara får tillämpas i brådskande fall ligger också att upplysning om kamerabevakningen ska lämnas när det är möjligt. I situationer som inte är brådskande går det, enligt regeringens uttalanden i förarbetena, oftast att upp- fylla kravet på upplysning även vid användning av en kamerautrustad drönare.23 Om det finns synnerliga skäl får i enskilda fall besluta om undantag från upplysningskravet och rätten till information om den personuppgiftsbehandling som kamera- bevakningen innebär (17 §). s. 92 och där gjord hänvisning. s. 95 f., 148 och 153. 15.5.7Inget utökat undantag från upplysningskravet Utredningens bedömning: Utredningen lämnar inga förslag i fråga om utökade undantag från upplysningskravet i kamerabevaknings- lagen. När ett undantag från upplysningskravet görs gällande kamerabevak- ning måste det avgränsas noggrant och utformas så att det inte inne- bär ett kringgående av den reglering om hemlig kameraövervakning som finns i 27 kap. och lagen (2007:979) om åt- gärder för att förhindra vissa särskilt allvarliga brott. Lagstiftaren har i kamerabevakningslagen gjort vissa sådana undan- tag för brådskande fall och vissa andra fall där bevakningens syfte äventyras om upplysning sker. När det gäller de situationer som avser brottsbekämpningen ställs kravet att behovet av bevakning ska vara brådskande. Lagstiftaren har särskilt påpekat att det i dessa fall inte ska vara fråga om situationer där syftet är att bevakningen sker i hem- lighet, utan snarare om situationer där upplysning av praktiska skäl inte kan ges av t.ex. tidsskäl eller för att det bevakade området är så stort att det blir praktiskt svårt. Om , eller en annan brotts- bekämpande myndighet, har behov av att bedriva kamerabevakning i hemlighet är de alltså hänvisade till bestämmelserna om hemlig kameraövervakning. Bestämmelser om hemliga tvångsmedel, däribland hemlig kamera- övervakning, omgärdas av särskilda rättssäkerhetsgarantier. En sådan garanti är att beslut om att tillåta hemlig kameraövervakning fattas av domstol på ansökan av en åklagare, eller i brådskande fall av en åkla- gare vars beslut därefter prövas av domstol (27 kap. 21 och 21 a §§ ). Om undantag ska göras från upplysningsplikten utan att sådana garantier finns måste det enligt vår mening föreligga ett tydligt och tungt vägande sådant behov. Det kan möjligen vara så att har behov av att omfattas av det undantag från upplysningskravet som gäller för Polismyndig- heten och Säkerhetspolisen enligt 16 § första stycket 2 kamerabevak- ningslagen i sin verksamhet, som till största delen bedrivs i gränsnära De situationer som bestämmelsen är avsedd att omfatta tycks dock i första hand ligga inom primära verk- samhetsområde, exempelvis våldsamma sammandrabbningar på offent- liga platser eller terrorangrepp. De behov som har i detta avseende i sin verksamhet i de gränsnära områdena har inte fram- kommit tillräckligt för att en utvidgning av undantaget till att gälla även ska föreslås i detta sammanhang. De andra ändamål för vilka menat att undantaget bör gälla tycks främst ta sikte på olika former av hemlig kameraövervak- ning, såsom övervakning i spaningssyften på platser där spaning inte kan ske på vanligt sätt på grund av risk för upptäckt, eller för rekog- nosering inför tillslag. I fall då övervakningen varken är hemlig eller brådskande borde det normalt finnas möjlighet att genom skyltning eller på annat verk- samt sätt upplysa om bevakningen, även om detta ibland kan vara svårare än vid bevakning med t.ex. en fast kamera. Det kan också framhållas att sådan kamerabevakning som inte innebär varaktig eller regelbundet upprepad personbevakning inte omfattas av reglerna om upplysningsplikt. behov i denna del tycks inte heller särskilt ta sikte på verksamheten vid gränsen utan avser behov inom verksamheten i stort. Frågorna ryms därmed inte inom detta utredningsuppdrag varför några ytterligare överväganden rörande dessa inte kommer att göras. 16Utgångspunkter för överväganden rörande personuppgiftsbehandling 16.1Allmänt om dataskyddsregleringens generella karaktär Sedan EU:s dataskyddsreform bygger EU:s dataskyddsreglering främst på två rättsakter, dataskyddsförordningen (2016/679) och dataskydds- direktivet (2016/680). Förordningen är direkt tillämplig i , dvs. den gäller som lag här. Direktivet är genomfört i svensk rätt i huvud- sak genom brottsdatalagen (2018:1177). Såväl förordningen som direk- tivet bygger på ett antal allmänna principer som också tar sig uttryck i flera av bestämmelserna i såväl brottsdatalagen som myndigheter- nas särskilda brottsdatalagar. Dataskyddsförordningen och brotts- datalagen utgör de yttre ramarna för på vilket sätt personuppgifter får behandlas inom respektive tillämpningsområde. Det bör särskilt framhållas att det från de allmänna principerna som de vilar på i regel inte kan göras avsteg, inte ens genom lag eller annan författning. Regel- verket har beskrivits mer ingående i avsnitt 9. På flera områden finns särregleringar som fyller ut och komplet- terar de grundläggande författningarna. I detta sammanhang kan sär- skilt nämnas myndigheternas särskilda brottsdatalagar, kamerabevak- ningslagen (2018:1200) och lagen (2006:444) om passagerarregister. Det finns också särreglering vid sidan om dessa regelverk, exempelvis lagen (2018:1180) om flygpassageraruppgifter i brottsbekämpningen, som också bygger på ett EU-direktiv. Här kan också särskilt nämnas lagen (2019:1182) om Säkerhetspolisens behandling av personupp- gifter (Säkerhetspolisens datalag) som gäller vid behandling av person- uppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekäm- pande och lagförande verksamhet. Den regleringen grundar sig inte Utgångspunkter för överväganden rörande personuppgiftsbehandling direkt på det EU-rättsliga regelverket men överensstämmer i stora delar med detsamma. Det kan redan här framhållas att vi i de följande texterna (avsnitt 16 och 17) huvudsakligen förhåller oss till vad som gäller enligt brottsdatalagen och de brottsbekämpande myndigheternas särskilda registerlagstiftning på brottsdatalagens område. Även om Säkerhetspolisen omfattas av våra förslag finns här i regel ingen särskild redovisning för vilka möjligheter som följer av Säkerhetspolisens data- lag. Vi har dock bedömt att våra överväganden huvudsakligen också har bäring på Säkerhetspolisens personuppgiftsbehandling. Bortsett från myndigheternas särskilda brottsdatalagar, som i första hand är avsedda att reglera personuppgiftsbehandling inom ramen för brottsbekämpande verksamhet mera allmänt, tar särregleringen i huvudsak sikte på vad som kan karakteriseras som regelrätta register och databaser (belastningsregister, misstankeregister, passagerarregis- ter osv. Bortsett från sådana fall av särreglering som nämnts, är det ram- verk som styr myndigheternas behandling av personuppgifter alltså utformat på ett sådant sätt att det inte ger svar på om behandlingen av personuppgifter i ett enskilt fall är tillåten eller inte. Det lämnas i stället åt rättstillämparen att i varje fall göra bedömningen om be- handlingen kan hänföras till en i lagen angiven rättslig grund, om den sker för ett särskilt, uttryckligt angivet och berättigat ändamål, om bevarandet av personuppgiften är nödvändig osv. Lagstiftningens all- männa karaktär, och de grundläggande principerna om att uppgifter inte ska behandlas i en större utsträckning eller av fler personer än vad som är nödvändigt för ändamålet med behandlingen, medför också att det är mycket svårt för lagstiftaren att göra såväl generella bedöm- ningar som förhandsbedömningar av när en viss behandling är tillåten och inte. För utredningens överväganden är behandlingen av personupp- gifter insamlade genom kamerabevakning av särskilt intresse. För att helt kunna svara på frågan om en viss behandling av t.ex. videomate- rial från en bevakningskamera i ett gränsnära område är tillåten måste man som utgångspunkt ha information om de särskilda ändamålen med behandlingen, vilka uppgifter som ska samlas in, hur personupp- gifterna är tänka att bearbetas (kamera utan något analysverktyg eller ikombination med t.ex. ANPR-teknik, Automatic number , eller annan objekts- eller ansiktsigenkänning), hur många som ska ha tillgång till uppgifterna, hur länge de ska bevaras osv. Utgångspunkter för överväganden rörande personuppgiftsbehandling Förenligheten med det dataskyddsrättsliga regelverket kan alltså be- dömas fullt ut först när det finns en någorlunda konkret utarbetad plan för personuppgiftsbehandlingen. Regleringen innehåller inte några särskilda bestämmelser om hur personuppgifter får bearbetas, dvs. om man exempelvis får använda objekts- eller ansiktsigenkänningsverktyg vid behandlingen. Huru- vida sådan bearbetning är godtagbar beror alltså på hur den samlade behandlingen bedöms utifrån regelverket. Det bör dock noteras att an- vändningen av ansiktsigenkänningsverktyg normalt medför behand- ling av känsliga personuppgifter – i form av biometriska uppgifter – och behandlingen faller i sådana fall under de särskilda regler som gäller för sådana uppgifter. Frågan om vilka uppgiftssamlingar och register som en person- uppgift får jämföras med styrs inte heller direkt av den generella regler- ingen utan i regel av den eventuella särreglering som finns avseende vissa register och databaser, t.ex. vägtrafikdatalagen (2019:369). Där- emot får författningarnas ändamålsbestämmelser stor betydelse för vilka sådana jämförelser som kan ske eftersom behandling inte får ske i strid med sådana ändamålsbestämmelser. De närmare bedömningarna och gränsdragningsfrågorna har alltså lämnats till rättstillämpningen. I regleringen som gäller brottsbekäm- pande verksamhet finns inbyggda krav på förhandssamråd med tillsynsmyndigheten, dvs. (, tidi- gare Datainspektionen), se 3 kap. 7 § brottsdatalagen och 5 kap. 6 § Säkerhetspolisens datalag. Vid sådana samråd ska tillsynsmyndigheten ge råd och stöd avseende den personuppgiftsansvariges och person- uppgiftsbiträdets skyldigheter enligt lag eller annan författning (5 kap. 4 § brottsdatalagen och 7 kap. 4 § Säkerhetspolisens datalag). Utöver dessa samråd har tillsynsmyndigheten också en skyldighet att utöva allmän tillsyn över personuppgiftsbehandlingen. beslut får överklagas till allmän förvaltningsdomstol. Även () ska utöva tillsyn över den behandling av personuppgifter som utförs av bl.a. enligt brottsdatalagen och polisens brottsdatalag (2018:1693) för de syften som anges i 1 kap. 1 § i den sistnämnda lagen: att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa uppbörd eller upprätthålla allmän ord- ning och säkerhet. SIN ska också utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling. SIN:s avgöranden får inte överklagas. Utgångspunkter för överväganden rörande personuppgiftsbehandling Det är alltså främst genom myndigheternas tillämpning och genom de nu nämnda tillsynsmyndigheternas yttranden och avgöranden som de närmare gränserna för tillåten behandling utformas. Det har framgått av den kartläggning utredningen har gjort att kamerabevakning i brottsbekämpande syften i gränsnära områden endast förekommer i begränsad omfattning . använd- ning av kamerabevakning vid delar av , och hamn har varit föremål för prövning i förvaltnings- rätten i Stockholm1 och genomfördes även ett förhands- samråd med tillsynsmyndigheten2. Vidare har viss planerad använd- ning av t.ex. kamerabevakning med bearbetning genom särskilda analysverktyg varit föremål för förhandssamråd med tillsynsmyndig- heten. Bland annat har sådana förhandssamråd skett rörande av Polis- myndigheten planerad pilotverksamhet med biometrisk ansiktsveri- fiering vid yttre gräns3, planerad användning av programvara för ansiktsigenkänning mot signalementsregistret4 och planerad använd- ning av bildanalysverktyg vid utredning av brott5. Eftersom den typen av kamerabevakning med efterföljande mer omfattande lagring och bearbetning av information som Polismyn- digheten nu ser behov av, såvitt framkommit, ännu inte bedrivs, har det heller inte utarbetats någon vägledande praxis i för utredningens överväganden centrala frågor. Var de närmare gränserna går i fråga om möjligheterna för brottsbekämpande myndigheter att bearbeta och lagra personuppgifter insamlade genom kamerabevakning är därför i någon mån oklart. När vi här och i det följande talar om videomaterial avser vi rörligt bildmaterial och i förekommande fall ljudmaterial upptaget med kamerateknik, dvs. När vi talar om kameramaterial kan detta avse både sådant videomaterial som annat kameramaterial, t.ex. stillbilder eller bilder som omvandlats till text (exempelvis registre- ringsnummer) genom tekniska verktyg. 1Förvaltningsrätten i , dom , mål nr 8483-19, 8487-19 och 8489-19. 2Förhandssamråd om planerade personuppgiftsbehandling i it-systemet fasta kameror (), DI-2018-19730. 3Förhandssamråd om planerade pilotverksamhet med biometrisk ansikts- verifiering vid yttre gräns (), DI-2019-11390. 4Förhandssamråd om planerade användning av programvara för ansikts- igenkänning mot signalementsregistret (), DI-2019-10508. 5Förhandssamråd om planerade användning av bildanalysverktyg vid ut- redning av brott (), DI-2020-6011. Utgångspunkter för överväganden rörande personuppgiftsbehandling 16.2Något om begreppen personuppgifter och personbevakning I dataskyddsförordningen (artikel 4.1) och dataskyddsdirektivet (arti- kel 3.1) avses med personuppgift varje upplysning som avser en identifierad eller identifierbar fysisk person. En identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikations- nummer, en lokaliseringsuppgift, en eller flera onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Endast uppgifter om fysiska personer som är i livet omfattas av definitionen. Uppgifter om avlidna eller ännu ej födda personer omfattas inte, inte heller uppgifter om juridiska personer. Tillämpningsområdet för vissa nationella registerförfattningar har dock utsträckts till att gälla även behandling av uppgifter om juridiska per- soner. Som framgår omfattar regelverket både uppgifter som direkt och indirekt kan härledas till en fysisk person. Exempel på uppgifter som direkt kan härledas till en person är personnamn och personnummer. kan identifikation inte ske med hjälp av enbart de behandlade uppgifterna, men däremot om dessa sammanförs med andra uppgif- ter. Även i sådana fall kan det alltså vara fråga om personuppgifter. Exempel på uppgifter som på det sättet indirekt kan härledas till en person är individuella månadskort, ip-adresser och lägenhetsnummer. När det gäller registreringsnummer för fordon, ip-adresser, fastighets- beteckningar och liknande som i vissa fall kan hänföras till en fysisk person men i vissa fall endast till en juridisk person, är det oftast omöjligt att på förhand veta om uppgiften utgör en personuppgift eller inte. Det innebär att den personuppgiftsansvarige i praktiken som utgångspunkt bör betrakta alla sådana nummer som personupp- gifter. Bild- och ljudupptagningar på fysiska personer utgör person- uppgifter förutsatt att man av bild- eller ljudupptagningen, direkt eller indirekt, kan sluta sig till vilken individ upptagningen avser.6 6Se vidare om definitionen av personuppgifter , Dataskyddsförordningen (GDPR) m.m. (version 1A, ), kommentaren till artikel 4, ”Första punkten – Personuppgifter”. Utgångspunkter för överväganden rörande personuppgiftsbehandling I den mån information som samlas in inte innehåller några per- sonuppgifter gäller inte den dataskyddsrättsliga regleringen för bevak- ningen eller behandlingen av informationen. Här kan poängteras att kamerabevakningslagen inte gäller vid all bevakning som omfattar behandling av personuppgifter. Lagen gäller endast vid bevakning där tekniken används på ett sätt som innebär varaktig eller regelbundet upprepad personbevakning (3 § kamera- bevakningslagen). Med personbevakning avses att människor kan identifieras genom bevakningen. För att en möjlighet till identifiering ska anses föreligga krävs att sådana kännetecken kan iakttas som gör att man utan större osäkerhet kan skilja de personer som iakttas från andra personer. Så är fallet om hela personen eller personens ansikte syns tydligt. Även sådant som utmärkande klädsel, speciella kropps- rörelser eller särskild kroppskonstitution kan möjliggöra identifiering. Begreppet personbevakning är alltså snävare än begreppet personupp- giftsbehandling och omfattar inte insamling av alla uppgifter som indirekt kan härledas till en fysisk person. Detta innebär exempelvis att kameror som används i parkeringshus enbart för att läsa av bilars registreringsnummer inte omfattas av kamerabevakningslagens tillämp- ningsområde.7 Om en kamera använder teknik som bara fångar in uppgifter om fordonstyp och fordonsfärg, men inte uppgift om personer som be- finner sig i eller i anslutning till fordonet, och inte heller registrerings- skylten, omfattas bevakningen alltså inte av de regelverk som diskute- ras här. Och om en kamera fångar upp endast en viss typ av uppgifter som indirekt kan härledas till en fysisk person gäller inte kamera- bevakningslagen men däremot annan dataskyddsrättslig reglering. I lagstiftningen om behandling av personuppgifter har känsliga per- sonuppgifter en särställning. Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning utgör känsliga personuppgifter. Även biometriska och gene- tiska uppgifter utgör sådana känsliga personuppgifter. 2017/18:231 s. 41. Utgångspunkter för överväganden rörande personuppgiftsbehandling ning sådana uppgifter får behandlas skiftar beroende på i vilken verk- samhet och för vilket ändamål behandlingen sker. En skriftlig uppgift om utseende är normalt inte en känslig person- uppgift, men om uppgiften innebär en uppgift om etniskt ursprung kan så vara fallet. En skriftlig uppgift om en persons nationalitet ger normalt inte upplysning om etniskt ursprung och utgör då inte en känslig person- uppgift. Uppgifter om att en viss person kommer från en viss världs- del eller ett visst land faller också som regel utanför definitionen av känsliga personuppgifter. Avbildningar av personer, t.ex. fotografier, kan avslöja många detaljer. Man kan se hudfärg eller om personen bär klädsel eller andra kännetecken som är typiska för utövare av en viss religion. Även fysiska funktionsnedsättningar kan framgå av bilder och det kan även framgå att en person är sjuk eller skadad. Regeringen har i förarbetena till brottsdatalagen uttalat att bilder på människor i mera normala sammanhang inte torde avslöja käns- liga personuppgifter, medan bilder på människor som utövar religiösa, politiska eller sexuella aktiviteter som regel utgör känsliga person- uppgifter. Ansiktsbilder i vanliga fotografier och filmer anses inte utgöra biometriska uppgifter om de inte bearbetas tekniskt genom en sär- skild metod som syftar till identifiering, exempelvis i ett ansiktsigen- känningsprogram.8 Utgångspunkten i det följande är att videomaterialet från kamera- bevakning i regel inte i sig kan anses avslöja känsliga personupp- gifter, men sådana uppgifter kan genom olika tekniska verktyg eller genom annan bearbetning utvinnas ur materialet. Möjligen kan också materialet den behandlas i ett sådant verktyg anses inne- hålla känsliga personuppgifter. 2017/18:232 s. 435 och 447. Utgångspunkter för överväganden rörande personuppgiftsbehandling 16.3Särskilt om längsta tid för behandling av personuppgifter Längsta tid för behandling av personuppgifter inom ramen för den brottsbekämpande verksamheten En fråga av stor betydelse för utredningens överväganden är hur länge personuppgifter som samlats in får lagras och bearbetas. Den styrande principen här, som gäller för all personuppgiftsbehandling, är prin- cipen om lagringsminimering. Av den principen följer att personupp- gifter inte får förvaras i en form som möjliggör identifiering än vad som är nödvändigt för de ändamål för vilka person- uppgifterna behandlas. Principen om lagringsminimering och de be- stämmelser som ger uttryck för denna princip kan alltså inte tolkas fristående, utan måste i varje fall knytas an till ändamålet för behand- lingen. Först utifrån ett särskilt givet ändamål kan det således avgöras om en tänkt behandling är fullt ut förenlig med lagstiftningen. Dataskyddsdirektivet anger inte någon tidsmässig bortre gräns för lagring av personuppgifter. Någon sådan bortre gräns har heller inte införts i brottsdatalagen. Det har det däremot i polisens brotts- datalag och brottsdatalag (2018:1694). I dessa författ- ningar anges olika tider för hur länge personuppgifter får behandlas för olika ändamål, delvis beroende på hur de får hanteras inom myn- digheten. Sådan reglering förekommer också i annan s.k. registerlag- stiftning. Regelverken har beskrivits närmare i avsnitt 9. Kamerabevakningslagen innehåller inte några bestämmelser om längsta tid för behandling av personuppgifter. I samband med att den tidigare kameraövervakningslagen (2013:460) skulle anpassas efter EU:s dataskyddsreform slog lagstiftaren fast att den nya kamera- bevakningslagen huvudsakligen skulle betraktas som en dataskydds- reglering, men att lagen endast skulle innehålla de bestämmelser som särskilt behövs för kamerabevakning och därmed gälla vid sidan om övriga författningar på dataskyddsområdet.9 Den tidigare gällande kameraövervakningslagen innehöll en be- stämmelse enligt vilken bild- eller ljudmaterial från kameraövervakning av en plats dit allmänheten har tillträde som huvudregel fick bevaras (32 § kameraövervakningslagen, 2013:460). Om materialet däremot användes i någon annan verksamhet hos den 2017/18:231 s. 30. Utgångspunkter för överväganden rörande personuppgiftsbehandling som bedrev kameraövervakningen tillämpades dock i stället regler- ingen i personuppgiftslagen eller annan författning som då gällde för behandling av personuppgifter i den verksamheten. Detta innebar ex- empelvis att inte var begränsad av den föreskrivna lagringstiden om materialet togs in i en förundersökning. Lagens före- gångare, lagen om allmän kameraövervakning (1998:150), hade före- skrivit att sådant material endast fick bevaras i, som huvudregel, högst en månad. En något längre bevarandetid ansågs dock med tiden vara motiverad med hänvisning till ett behov av att kunna använda mate- rialet för utredning av brott. Erfarenheter hade visat att många brott upptäcktes först efter att en månad hade gått och att materialet då var raderat. Tiden förlängdes då för att bättre möta dessa förhållanden.10 Någon bestämmelse med motsvarande innehåll infördes alltså inte i den nya kamerabevakningslagen. Regeringen slog fast att särskilda bestämmelser om längsta tid för behandling skulle finnas i brottsdata- lagen (jfr 2 kap. 17 och 18 §§).