Storstockholms Lokaltrafik, SL – Ta del av överklagandet

IMY-2023-1305 Komplettering av överklagande i mål

nr 870-23

Uppgifter om målet

Klagande

Integritetsskyddsmyndigheten, ,

Motpart

AB Storstockholms Lokaltrafik, 556013-0683

Överklagat avgörande

Kammarrätten i Stockholms dom den 26 januari 2023 i mål nr 1552-22

Saken

Tillsyn enligt dataskyddsförordningen

Integritetsskyddsmyndighetens yrkande

Integritetsskyddsmyndigheten (IMY) yrkar att Högsta förvaltningsdomstolen

1. meddelar prövningstillstånd, 2. begär förhandsavgörande från EU-domstolen enligt artikel 267 i EUFfördraget avseende frågan om det är artikel 13 eller artikel 14 i dataskyddsförordningen som är tillämplig i fråga om den personuppgiftsansvariges skyldighet att lämna information till registrerade vid behandling av personuppgifter som inhämtas genom kamerabevakning, samt 3. undanröjer kammarrättens dom i den del den avser sanktionsavgift för bristande information till registrerade och återförvisar målet till kammarrätten

för prövning av frågan om utdömande av sanktionsavgift på grund av överträdelser av artikel 13 och öppenhetsprincipen i artikel 5.1 a i dataskyddsförordningen.

Grunderna för yrkandena

Formulering av rättsfrågan

Den fråga som enligt IMY bör prövas av Högsta förvaltningsdomstolen är om det är artikel 13 eller artikel 14 i dataskyddsförordningen som är tillämplig i fråga om den personuppgiftsansvariges skyldighet att lämna information till registrerade vid behandling av personuppgifter som inhämtas genom kamerabevakning.

Prövningstillstånd

Enligt IMY är det av vikt för ledning av rättstillämpningen att överklagandet prövas av Högsta förvaltningsdomstolen.

Kammarrättens bedömning att artikel 13 inte är tillämplig vid personuppgiftsbehandling genom användning av kroppsburna kameror går emot den bedömning som Europeiska dataskyddsstyrelsen (EDPB) – vars uppgift är att se till att dataskyddsförordningen tillämpas enhetligt – gjort, bland annat i riktlinjerna för behandling av personuppgifter genom videoenheter. Bedömningen går även emot den dominerande tolkningen i svensk doktrin samt vad den franska högsta förvaltningsdomstolen uttalat i ett mål om insamling av personuppgifter via observation. Kammarrättens avgörande innebär mot denna bakgrund betydande osäkerhet för personuppgiftsansvariga och registrerade i frågan om vilken artikel som är tillämplig för informationsgivning vid kamerabevakning. Frågan är dessutom inte endast av betydelse för personuppgiftsbehandling genom kamerabevakning utan för all typ av personuppgiftsbehandling som sker genom observation av den registrerade.

Enligt IMY saknas vägledande avgörande från EU-domstolen i frågan. Inte heller har Högsta förvaltningsdomstolen tidigare prövat frågan om vilken bestämmelse i dataskyddsförordningen som är tillämplig avseende informationsskyldighet vid inhämtning av personuppgifter genom kamerabevakning eller annan typ av observation av den registrerade.

Det är enligt IMY av stor vikt för personuppgiftsansvariga och registrerade att den i målet aktuella frågan klargörs. Att Högsta förvaltningsdomstolen ger ledning i frågan är även av stor betydelse för IMY:s tillsynsverksamhet.

Lagrum

36 § första stycket 1 förvaltningsprocesslagen (1971:291)

Förhandsavgörande av EU-domstolen

Frågan i målet är om det är artikel 13 eller 14 i dataskyddsförordningen som är tillämplig vid kamerabevakning. Frågan avser därmed tolkningen och tillämpningen av en EU-rättsakt.

Kammarrätten gör i den överklagade domen en annan bedömning än det EU-rättsliga organet EDPB, vars uppgift enligt dataskyddsförordningen är att se till att förordningen tillämpas enhetligt. Om kammarrättens dom vinner laga kraft skulle detta medföra betydande oklarheter för tillsynsmyndigheter, personuppgiftsansvariga och registrerade i unionen i fråga om hur dataskyddsförordningen ska tolkas samt innebära en betydande risk för skillnader i rättspraxis inom unionen.

IMY anser inte heller att EU-domstolens uttalanden i det mål kammarrätten hänvisar till kan anses innebära att EU-domstolen redan uttalat sig i frågan eller att den korrekta tillämpningen av unionsrätten är uppenbar.

Det är mot denna bakgrund nödvändigt att EU-domstolen ger vägledning om hur EUrätten ska tolkas i det aktuella avseendet innan Högsta förvaltningsdomstolen avgör målet. IMY anser därför att Högsta förvaltningsdomstolen ska begära förhandsavgörande från EU-domstolen avseende frågan om det är artikel 13 eller artikel 14 i dataskyddsförordningen som är tillämplig i fråga om den personuppgiftsansvariges skyldighet att lämna information till registrerade vid behandling av personuppgifter som inhämtas genom kamerabevakning.

Lagrum

Artikel 267 i fördraget om Europeiska unionens funktionssätt.

Undanröjande av kammarrättens dom och återförvisning

Enligt IMY har kammarrätten gjort en felaktig bedömning av vilken artikel i dataskyddförordningen som AB Storstockholms Lokaltrafik (SL) har att följa avseende informationsskyldighet vid användande av kroppsburna kameror. IMY delar inte kammarrättens bedömning att ordalydelsen i artikel 13 tyder på att det krävs någon typ av medvetet handlande från den registrerade för att personuppgifterna ska anses ha samlats in från denne. IMY anser inte heller att EU-domstolens dom i mål C-212/13 kan tillmätas någon avgörande betydelse vid bedömningen av frågan om vilken artikel som ska vara tillämplig i förevarande fall.

IMY:s uppfattning är – i linje med vad EDPB uttalat i sina riktlinjer – att personuppgiftsbehandling genom användning av kroppsburna kameror innebär att personuppgifter samlas in från den registrerade och att artikel 13 därför är tillämplig i målet. Kammarrättens dom ska därför undanröjas i den del den avser sanktionsavgift för bristande information till registrerade.

Kammarrätten har inte närmare prövat om SL brustit i informationsskyldigheten enligt artikel 13 och öppenhetsprincipen i artikel 5.1 a och således inte heller om IMY haft skäl för att påföra administrativ sanktionsavgift för överträdelsen. Målet bör därför återförvisas till kammarrätten för prövning i denna del.

Lagrum

Artiklarna 5.1 a, 13 och 14 i dataskyddsförordningen.

Utveckling av talan

Prövningstillstånd

Kammarrätten i Stockholm har i den överklagade domen bedömt att inhämtning av personuppgifter med hjälp av en kroppsburen kamera inte innebär att personuppgifterna samlas in från den registrerade. Följden av kammarrättens resonemang blir att artikel 14 och inte artikel 13 i dataskyddsförordningen ska vara tillämplig i fråga om vilken information om personuppgiftsbehandlingen som ska lämnas till registrerade, när i tiden information ska lämnas och vilka undantag från skyldigheten att lämna information till registrerade som är tillämpliga.

Kammarrättens bedömning går emot den bedömning som EDPB gjort i frågan. EDPB har enligt artikel 70 i dataskyddsförordningen i uppgift att se till att förordningen tillämpas enhetligt. För detta ändamål ska EDPB bland annat enligt artikel 70.1 e utfärda riktlinjer, rekommendationer och bästa praxis i syfte att främja en enhetlig tillämpning av förordningen. EDPB har således en i dataskyddsförordningen fastställd central roll i att tolka förordningen och ge vägledning till aktörer som har att tillämpa förordningen. Vägledningarna från EDPB utgör ett viktig stöd både i tillsynsmyndigheternas verksamhet och i personuppgiftsansvarigas arbete med att uppfylla förordningens krav.

Artikel 29-gruppen, som numera ersatts av EDPB, har i riktlinjer om öppenhet enligt dataskyddsförordningen uppgett att artikel 13 är tillämplig i fråga om personuppgifter som en personuppgiftsansvarig inhämtar från en registrerad genom observation (t.ex. med användning av automatiserad datafångstutrustning eller datafångstprogramvara som kameror, nätverksutrustning, wi-fi-spårning, RFID eller andra slags sensorer) . Riktlinjerna har godkänts av EDPB. EDPB har därefter gjort samma bedömning i sina riktlinjer för behandling av personuppgifter genom videoenheter . Även i fråga om personuppgiftsbehandling i samband med uppkopplade fordon – till exempel när sensorer och ansluten fordonsburen utrustning samlar in och registrerar motorprestanda, körvanor, besökta platser, förarens ögonrörelser, puls eller biometriska uppgifter – är det enligt EDPB normalt fråga om inhämtning av uppgifter från den registrerade enligt artikel 13. EDPB har alltså vid flertalet tillfällen bedömt att artikel 13 är tillämplig för personuppgiftsbehandling som inhämtas genom observation av den registrerade i allmänhet och kameraanvändning i synnerhet.

Det kan vidare konstateras att kammarrättens bedömning även går emot uttalanden i den svenska doktrinen. Öman har uttalat att personuppgifterna, vid kamerabevakning, får anses insamlade från den registrerade och att artikel 13 således är tillämplig. Även Brinnen har – med hänvisning till artikel 29-gruppens riktlinjer om öppenhet – uttalat att artikel 13 omfattar tillfällen då den personuppgiftsansvarige samlar in personuppgifter genom observation av den registrerade exempelvis vid videoövervakning, wifi-tracking, RFID och andra former av sensorer.

Kammarrättens bedömning går även emot vad den franska högsta förvaltningsdomstolen, Conseil d'État, uttalat i ett mål som avsåg insamling av personuppgifter från mobiltelefoner tillhörande personer som passerar reklamskyltar. Målet avsåg i relevant del tolkning av nationella bestämmelser som motsvarade den svenska personuppgiftslagen (1998:204) och som införlivade dataskyddsdirektivets artikel 10 och 11 om informationsskyldighet. Dessa artiklar motsvarar artiklarna 13 och 14 i dataskyddsförordningen. Domstolen uttalade i målet att den aktuella insamlingen av personuppgifter visserligen inte krävde någon handling från de berörda personerna men att insamlingen trots detta hade karaktären av direkt insamling av personuppgifter och att det därför varit korrekt av den franska dataskyddsmyndigheten att tillämpa bestämmelsen som motsvarande dagens artikel 13 i dataskyddsförordningen.

Eftersom kammarrättens dom går emot vad som uttalats av EDPB, i svensk doktrin och av Conseil d’État skulle domen medföra betydande osäkert i rättsläget om den skulle vinna laga kraft.

IMY anser vidare att det saknas avgörande från EU-domstolen som klargör rättsläget. I det avgörande som kammarrätten hänvisar till i den överklagade domen (Ryneš, mål C-212/13) nämns visserligen dataskyddsdirektivets motsvarighet till artikel 14. Målet rörde dock frågan om det så kallade privatundantagets tillämplighet när en privatperson bedriver kamerabevakning i anslutning till sitt hem och inte frågan om vilken artikel om informationsskyldighet som ska tillämpas vid kamerabevakning. Domstolen för inte några resonemang kring frågan om vilken artikel som ska vara tillämplig i fråga om informationsskyldighet vid kamerabevakning. Domstolen uttalade endast – efter att ha konstaterat att privatundantaget inte är tillämpligt för en privatpersons kamerabevakning om bevakningen även omfattar platser dit allmänheten har tillträde – att det i dataskyddsdirektivet, i förekommande fall, finns möjlighet att beakta berättigade intressen hos den personuppgiftsansvarige, till exempel vid bedömningen av om rättslig grund föreligger för en personuppgiftsbehandling eller om det kan göras undantag från informationsskyldighet enligt artikel 11.2 i direktivet (motsvarande artikel 15.4 b i dataskyddsförordningen). Uttalandet gjordes alltså obiter dictum, efter att domstolen redan tagit ställning i sakfrågan. Uttalandet bör enligt IMY ses som en upplysning om att bevakningen, trots att privatundantaget inte är tillämpligt, ändå kan vara laglig. Några säkra slutsatser kring vilken bestämmelse som ska tillämpas för lämnande av information vid kamerabevakning kan däremot inte dras utifrån domstolens uttalanden. IMY konstaterar också att domen avsåg dataskyddsdirektivet och inte dataskyddsförordningen samt att det föreligger skillnader i rättsakternas innehåll i fråga om skyldigheten att lämna information, bland annat med avseende på tidpunkten för lämnande av information. I det avseendet anges i artikel 11 i dataskyddsdirektivet att informationen som utgångspunkt ska lämnas vid tiden för registrering medan det i artikel 14.3 a i dataskyddsförordningen anges att informationen som utgångspunkt ska lämnas inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad. Denna skillnad i ordalydelse kan påverka bedömningen av tillämplig artikel enligt dataskyddsförordningen eftersom information vid kamerabevakning förutsätts lämnas innan den registrerade beträder det bevakade området . Mot denna

bakgrund anser IMY att den aktuella domen från EU-domstolen inte innebär att rättsläget är klargjort.

Att rättsläget klargörs är av stor betydelse för IMY:s tillsynsverksamhet och internationella samverkan enligt de så kallade samordnings- och tvistelösningsmekanismerna i dataskyddsförordningen. Om kammarrättens dom vinner laga kraft skulle detta få stora konsekvenser för IMY, i synnerhet i gränsöverskridande ärenden som rör informationsskyldigheten vid kamerabevakning eller annan personuppgiftsbehandling genom observation. Sådana ärenden förutsätter ofta samarbete med andra berörda tillsynsmyndigheter inom unionen enligt kapitel VII i dataskyddsförordningen. En avvikande nationell hållning i fråga om vilken artikel som är tillämplig avseende informationsskyldigheten i sådana ärenden kan antas leda till invändningar från andra tillsynsmyndigheter enligt artikel 60.4 i dataskyddsförordningen. Frågan måste då hänvisas till EDPB för antagande av ett bindande beslut enligt artikel 65.1 a i dataskyddsförordningen. IMY är enligt artikel 65.2 och 65.6 därefter skyldig att följa ett sådant beslut från EDPB. Vid ett eventuellt överklagande har vidare den nationella domstolen enligt skäl 143 andra stycket i förordningen inte behörighet att ogiltigförklara beslutet utan måste hänskjuta frågan om giltighet till EU-domstolen i enlighet med artikel 267 EUF-fördraget.

Att överklagandet prövas är även av stor vikt för personuppgiftsansvariga och registrerade. Frågan om det är artikel 13 eller 14 som är tillämplig i målet har vidare inte enbart stor betydelse för informationslämnande vid kamerabevakning, utan även vid annan typ av personuppgiftsbehandling som sker genom observation av den registrerade.

Högsta förvaltningsdomstolen har inte tidigare prövat frågan om vilken bestämmelse i dataskyddsförordningen som är tillämplig avseende informationsskyldighet vid inhämtning av personuppgifter genom kamerabevakning eller annan typ av observation av den registrerade.

Sammanfattningsvis är rättsläget i den i målet aktuella frågan osäkert. Det är därför av vikt för ledning av rättstillämpningen att Högsta förvaltningsdomstolen prövar överklagandet.

Begäran om förhandsavgörande från EU-domstolen

Enligt artikel 267 i fördraget om Europeiska unionens funktionssätt ska EU-domstolen vara behörig att meddela förhandsavgöranden angående bland annat tolkningen av rättsakter som beslutas av unionens institutioner, organ eller byråer. När en sådan fråga uppkommer vid en domstol i en medlemsstat får den domstolen, om den anser att ett beslut i frågan är nödvändigt för att döma i saken, begära att EU-domstolen meddelar ett förhandsavgörande. Om frågan uppkommer i ett ärende vid en domstol i en medlemsstat, mot vars avgöranden det inte finns något rättsmedel enligt nationell lagstiftning, ska den nationella domstolen föra frågan vidare till EU-domstolen.

EU-domstolen har vid ett flertal tillfällen uttalat sig om den begränsade möjligheten till undantag från skyldigheten att begära förhandsavgörande. Av EU-domstolens praxis framgår att undantag föreligger endast om den uppkomna frågan saknar relevans, om EU-domstolen redan har uttalat sig i samma eller en snarlik fråga eller om den

korrekta tillämpningen av unionsrätten är så uppenbar att det inte finns utrymme för något rimligt tvivel. När den nationella domstolen avgör om något undantag från skyldigheten föreligger måste domstolen beakta unionsrättens särdrag, de särskilda svårigheter som dess tolkning medför samt risken för skillnader i rättspraxis inom unionen.

IMY konstaterar att frågan om vilken artikel i dataskyddsförordningen som är tillämplig avseende informationsskyldigheten vid personuppgiftsbehandling i form av kamerabevakning avser tolkningen och tillämpningen av en EU-förordning. Frågan är avgörande för utgången i målet och kan därför inte anses sakna relevans. I enlighet med vad som framförts under föregående rubrik anser IMY inte att EU-domstolen kan anses ha uttalat sig i samma eller en snarlik fråga i och med domen i Ryneš, mål C-212/13. IMY vill särskilt framför att EU-domstolens uttalanden avseende artikel 11 i dataskyddsdirektivet inte var en del av sakfrågan i målet, att målet avsåg dataskyddsdirektivet och inte dataskyddsförordningen samt att det inte framgår av domen att EU-domstolen gjort några avvägningar kring frågan om vilken artikel som ska vara tillämplig för lämnande av information vid kamerabevakning. Den korrekta tillämpningen av unionsrätten kan inte heller anses vara uppenbar. Detta gäller särskilt med beaktande av att EDPB – till skillnad från kammarrätten – bedömt att artikel 13 ska vara tillämplig vid kamerabevakning. EDPB har vidare upprepat sin bedömning vid ett flertal tillfällen, samtliga vid tidpunkter efter EU-domstolens avgörande i Ryneš, mål C-212/13. Frågan innefattar därför även bedömningar av vilken rättslig tyngd EDPB:s uttalanden ska ges vid tolkningen av dataskyddsförordingen. Det faktum att det även finns uttalanden i svensk doktrin som går emot kammarrättens bedömning och att den franska högsta förvaltningsdomstolen bedömt att artikel 13 är tillämplig vid inhämtning av personuppgifter genom observation av den registrerade talar också för att tillämpningen av de aktuella bestämmelserna inte är uppenbar samt att det finns uppenbara risker för skillnader i rättspraxis inom union om frågan inte klargörs av EUdomstolen.

Frågan i målet är av betydelse för att säkerställa en enhetlig tillämpning av EU-rätten inom unionen och bör ytterst avgöras av EU-domstolen. Enligt IMY saknas skäl att göra undantag från skyldigheten att begära förhandsavgörande. IMY anser därför att Högsta förvaltningsdomstolen ska begära förhandsavgörande från EU-domstolen i enlighet med IMY:s yrkande.

Upphävande och återförvisning

Kammarrätten stödjer sitt resonemang dels på EU-domstolens dom i Ryneš, mål C-212/13, dels på ordalydelsen i artikel 13 i dataskyddsförordningen.

I enlighet med de resonemang som framförts ovan anser IMY inte att de uttalanden som EU-domstolen gjorde i den aktuella domen kan ges någon avgörande betydelse vid tolkningen av om det är artikel 13 eller 14 i dataskyddsförordningen som är tillämplig vid personuppgiftsbehandling i form av kamerabevakning.

Vad gäller ordalydelsen i artikel 13 delar IMY inte kammarrättens bedömning att denna tyder på att det krävs någon typ av medvetet handlande från den registrerade för att personuppgifterna ska anses ha samlats in från denne. IMY anser tvärtom att begreppet ”samlas in” (”are collected” enligt den engelska ordalydelsen) rent språkligt snarare talar för att det krävs aktivitet från den personuppgiftsansvariges sida. Det får dock antas att begreppet även omfattar situationer där den registrerade självmant

lämnar in uppgifter till en personuppgiftsansvarig. Ordalydelsen i artikel 13 talar därmed inte för att artikeln inte är tillämplig av det skälet att det saknas medvetet handlande från den registrerade. Att det inte krävs ett aktivt handlande från den registrerade får även stöd av den tidigare nämnda domen från den franska högsta förvaltningsdomstolen (Conseil d’État). IMY konstaterar vidare att det vid kamerabevakning inte heller helt saknas inslag av medvetet handlande från den registrerades sida. Eftersom information vid kamerabevakning förutsätts lämnas innan personuppgiftsbehandlingen påbörjas är det den registrerade som genom att medvetet beträda det bevakade området möjliggör att personuppgifterna samlas in av den personuppgiftsansvarige.

Vid bedömningen av vilken artikel som är tillämplig för informationsskyldighet vid kamerabevakning måste även artikel 14 och tillhörande skäl i dataskyddsförordningen beaktas. Artikel 14 i dataskyddsförordningen avser situationer när personuppgifterna inte har erhållits från den registrerade. I skäl 61 till dataskyddsförordningen uttrycks detta som att ”personuppgifterna erhålls direkt från en annan källa”. I artikel 29gruppens riktlinjer om öppenhet anges som exempel att det kan vara fråga om att personuppgifter hämtas från personuppgiftsansvariga i egenskap av tredje part, allmänt tillgängliga källor, datamäklare eller andra registrerade. I artikel 14.2 f i dataskyddsförordningen anges vidare att information ska lämnas om varifrån (”from which source” i den engelska lydelsen) personuppgifterna kommer. Detta talar sammantaget för att artikel 14 är tillämplig i de fall personuppgifter hämtas från någon extern aktör eller källa som inte är den personuppgiftsansvarige själv. Så kan enligt IMY inte anses vara fallet i fråga om kamerabevakning som bedrivs av den personuppgiftsansvarige själv. Detta talar emot att artikel 14 skulle vara tillämpligt i nu aktuellt mål.

Andra relevanta skillnader mellan artikel 13 och 14 i dataskyddsförordningen är tidpunkten för när information ska lämnas samt möjligheterna till undantag från informationskyldigheten. Enligt artikel 13 ska informationen lämnas när personuppgifterna erhålls medan informationen enligt artikel 14.3 som huvudregel får lämnas inom en rimlig period och senast inom en månad. Vidare innehåller artikel 14.5 undantag från informationsskyldigheten som inte har någon motsvarighet i artikel 13, bland annat om tillhandahållandet av information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning (artikel 14.5 b i dataskyddsförordningen). Även om tillämpningen av undantaget i artikel 14.5 b förutsätter att den personuppgiftsansvarige vidtar lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet att göra uppgifterna tillgängliga för allmänheten (”publicly available” i den engelska lydelsen), skulle slutsatsen att artikel 14 är tillämplig vid kamerabevakning medföra en risk för att personuppgiftsansvariga tolkar förordningen på ett sådant sätt att information inte behöver lämnas vid det bevakade området när personuppgiftsbehandlingen påbörjas med hänvisning till artikel 14.3 samt att information inte heller behöver lämnas i efterhand enligt undantaget i artikel 14.5 b. Om artikel 14 skulle anses tillämplig vid kamerabevakning skulle detta alltså kunna leda till att registrerade inte informeras om bevakningen på ett tillfredställande sätt. Även detta talar enligt IMY för att det är artikel 13 och inte artikel 14 som ska vara tillämplig i målet.

Kammarrätten anger även i sin dom att det varken i kamerabevakningslagen (2018:1200) eller dess förarbeten specificeras vilken artikel lagen stöder sig på avseende informationskravet vid kamerabevakning. IMY vill dock framhålla att regeringen i förarbetena uttalar att kamerabevakning skiljer sig från övrig personuppgiftsbehandling eftersom enskilda i praktiken måste upplysas om personuppgiftsbehandlingen i förväg. Mot bakgrund av att artikel 13 anger att informationen ska lämnas när personuppgifterna erhålls medan artikel 14 anger att information ska lämnas inom en rimlig period anser IMY att regeringens uttalande talar för att det i första hand varit artikel 13 som avsetts. I det betänkande som låg till grund för regeringens proposition är det vidare kraven i artikel 13 och inte artikel 14 som utredningen hänvisar till i de resonemang som fördes avseende upplysningskravets utformning. IMY konstaterar även att regeringen i förarbetena till införandet av bland annat polisdatalagen (2010:361) bedömde att 23 § personuppgiftslagen, dvs. motsvarigheten till artikel 13 i dataskyddsförordningen, var tillämplig för polisens insamling av personuppgifter genom ljud och bild. I den nya polisdatalagen infördes ett undantag från polisens informationsskyldighet enligt 23 § personuppgiftslagen i fråga om insamling av personuppgifter genom bilder eller ljud. Regeringen har alltså tidigare bedömt att insamling genom bild- och ljudupptagningar innebär att uppgifterna samlas in från den registrerade. Sammantaget anser IMY att de redovisade förarbetsuttalanden talar för att det även är den svenska lagstiftarens uppfattning att artikel 13 i dataskyddsförordningen som ska vara tillämplig vid kamerabevakning.

Som tidigare nämnts har även EDPB bedömt att artikel 13 ska vara tillämplig vid kamerabevakning. Att EDPB enligt dataskyddsförordningen har till uppgift att se till att förordningen tillämpas enhetligt och att utfärda vägledning i syfte att främja en enhetlig tillämpning av förordningen innebär enligt IMY att stor vikt bör läggas vid EDPB:s uttalanden i frågan.

Avslutningsvis konstateras att även de tidigare nämnda uttalandena av Öman och Brinnen i svensk doktrin ger stöd för bedömningen att personuppgiftsbehandling genom kamerabevakning innebär att personuppgifterna samlas in från de registrerade i enlighet med artikel 13 i dataskyddsförordningen.

Sammanfattningsvis anser IMY att artikel 13 i dataskyddsförordningen är tillämplig för SL:s personuppgiftsbehandling genom användning av kroppsburna kameror. Kammarrätten har därmed inte haft skäl för sitt beslut att delvis undanröja förvaltningsrättens dom och IMY:s beslut. Kammarrättens dom bör därför undanröjas i den del den avser sanktionsavgift för bristande information till registrerade och målet bör återförvisas till kammarrätten för prövning av frågan om utdömande av sanktionsavgift på grund av överträdelser av artikel 13 och öppenhetsprincipen i artikel 5.1 a i dataskyddsförordningen. ______________________________ Detta överklagande har beslutats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Andreas Persson. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetschefen Charlotte Waller Dahlberg och den seniora juristen Jenny Bård medverkat.

Lena Lindgren Schelin, 2023-03-02 (Det här är en elektronisk signatur)