text: Swedavia AB

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 EDPB:s dokument om ram för samordnat genomförande enligt förordning 2016/679. Antaget den 20 oktober 2020. 08-657 61 00

text: EDPB:s rapport “2023 Coordinated Enforcement Action, Designation and Position of Data Protection Officers”, antagen den 16 januari 2024.

text: Artikel 29-gruppens riktlinjer om dataskyddsombud,

text: WP 243

text: rev. 01, senast granskade och antagna den 5 april 2017, sida 19. 5 EU-domstolens dom den 9 februari 2023, X-FAB Dresden,

text: , EU:C:2023:79, punkterna 41–42 samt 46.

titel: Swedavia

title: Dataskyddsombudens roll och ställning – Swedavia

text: Beslut efter tillsyn enligt dataskyddsförordningen - Swedavia AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att utredningen i ärendet inte visar att Swedavia AB (556797-0801) har brustit i efterlevnaden av artikel 38.6 i dataskyddsförordningen.

text: Ärendet avslutas.

text: Redogörelse för tillsynsärendet

text: Bakgrund m.m.

text: Den europeiska dataskyddsstyrelsen (EDPB) har under 2023 genomfört en samordnad åtgärd med syftet att undersöka om dataskyddsombuden har den roll samt de resurser som förutsätts enligt artiklarna 37–39 i dataskyddsförordningen. Integritetsskyddsmyndigheten (IMY) har deltagit i den samordnade åtgärden och genomfört den i form av tillsyn mot ett femtiotal personuppgiftsansvariga. Det är mot denna bakgrund som IMY har inlett tillsyn mot Swedavia AB (i fortsättningen ”Swedavia” eller ”bolaget”).

text: Tillsynen har inledningsvis inneburit att Swedavia har besvarat ett trettiotal frågor om bland annat dataskyddsombudets kvalifikationer, uppgifter och ställning. Frågorna har sin grund i ett frågeformulär som EDPB har skapat inom ramen för den samordnade åtgärden.

text: Målet med en samordnad åtgärd som denna har varit att i bred mening underlätta gemensamma åtgärder på ett flexibelt men samordnat sätt, allt ifrån att öka den gemensamma medvetenheten och samla in information till att kontrollera verkställighet och utföra gemensamma utredningar. Detta möjliggör riktad uppföljning och åtgärder

text: både på nationell nivå och genom EDPB. Resultatet från granskningen har sammanställts i en rapport från EDPB.

text: Av de tillsyner som IMY inlett inom ramen för den samordnade åtgärden har myndigheten gått vidare med ett mindre urval för att göra en fördjupad granskning av några frågeställningar. Denna tillsyn är ett av dessa ärenden där IMY sett anledning att ställa kompletterande frågor till Swedavia, såsom personuppgiftsansvarig, avseende artikel 38.6 i dataskyddsförordningen. Syftet har varit att utreda om det föreligger en intressekonflikt mellan rollen som dataskyddsombud och dataskyddsombudets övriga uppgifter och uppdrag inom organisationen. IMY har inte granskat huruvida Swedavia i övrigt uppfyller artiklarna 37–39 i dataskyddsförordningen utifrån tidigare lämnade svar.

text: Uppgifter från Swedavia

text: Swedavia har i huvudsak uppgett följande. Bolagets dataskyddsombud har även haft rollen som bolagets informationssäkerhetschef (CISO). I rollen som informationssäkerhetschef har det inte ingått att ha ansvar för fastställande av ändamålen och medlen för behandlingen av personuppgifter utan rollen har främst varit rådgivande och utbildande. Informationssäkerhetschefen ansvarar för normering, uppföljning, förvaltning, utveckling och kvalitetssäkring inom området Informationssäkerhet för Swedavias verksamhet och flygplatser. Det innebär bland annat att ha en övergripande kunskap om hot och risker samt omvärldsbevakning inom informationssäkerhet. Därtill har informationssäkerhetschefen haft en samverkande roll där denna har haft i uppgift att stötta verksamheten och i synnerhet IT samt dess IT-säkerhetsansvariga i arbetet med att efterleva ledningssystemet och tillämplig lagstiftning generellt. I rollen har även ingått att utforma krav och regler för hur Swedavia arbetar med informationssäkerhet, uppföljning och förvaltning av ledningssystem för Informationssäkerhet (LIS) samt att samordna arbetet inom Swedavia när det gäller informationssäkerhetsfrågor.

text: Bolaget har haft en dokumenterad rollbeskrivning för de huvudsakliga arbetsuppgifter som åligger dataskyddsombudet för att förhindra att eventuella intressekonflikter uppstår. Informationssäkerhetschefen har inte fattat några beslut eftersom Swedavias organisation har varit strukturerad på ett sådant vis att informationssäkerhetschefen har haft en mer rådgivande roll där slutliga beslut fattas på en högre nivå. I de situationer där informationssäkerhetschefen/dataskyddsombudet misstänkt att en eventuell uppgift skulle kunna leda till en intressekonflikt har detta eskalerats till en högre nivå för att minska sådana risker. Därtill har Swedavia dataskyddskoordinatorer och en bolagsjurist som har arbetat med det löpande dataskyddsarbetet samt tar in externa konsulter vid behov.

text: Swedavia har i samband med sitt kompletterande svar inkommit med ett internt dokument daterat den 27 oktober 2021 gällande informationssäkerhetschefens befattningsbeskrivning samt en beskrivning av dataskyddsombudet roll som antogs den 29 november 2023.

text: Bolaget anför att de under 2023, som ett led i sitt dataskyddsarbete, beslutat att separera dataskyddsombudets och informationssäkerhetschefens roller.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Rollen som dataskyddsombud regleras i artiklarna 37–39 i dataskyddsförordningen. Dataskyddsombudet ska bland annat informera och ge råd inom organisationen om tillämplig dataskyddslagstiftning, övervaka organisationens efterlevnad av dataskyddslagstiftningen och interna styrdokument, ge råd om konsekvensbedömningar samt vara kontaktperson för tillsynsmyndigheten. Dataskyddsombudet ska vara oberoende och självständig i utförandet av sina arbetsuppgifter.

text: Dataskyddsombudet får enligt artikel 38.6 i dataskyddsförordningen fullgöra andra uppgifter och uppdrag utöver rollen som dataskyddsombud. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska se till att sådana uppgifter inte leder till en intressekonflikt.

text: Av artikel 29-gruppens riktlinjer om dataskyddsombud framgår följande om artikeln:

text: Kravet att det inte får föreligga intressekonflikter är nära kopplat till kravet att dataskyddsombuden ska kunna agera på ett oberoende sätt. Även om dataskyddsombud får ha andra funktioner, kan de anförtros andra uppgifter och uppdrag endast på villkor att de inte ger upphov till intressekonflikter. Det innebär särskilt att dataskyddsombudet inte kan inneha en sådan tjänst inom organisationen som innebär att han eller hon fastställer ändamålen med och medlen för behandlingen av personuppgifter. Detta måste avgöras från fall till fall beroende på hur organisationen är strukturerad.

text: Som en tumregel kan motstridiga befattningar inom organisationen vara befattningar i högsta ledningen (t.ex. verkställande direktör, högste verkställande beslutsfattare, finansdirektör, chefsläkare, marknadsföringschef, personalchef eller it-chef), men även andra funktioner lägre i organisationsstrukturen, om sådana befattningar eller funktioner innebär att dataskyddsombudet fastställer ändamålen med och medlen för behandlingen av personuppgifter.

text: EU-domstolen har i målet X-FAB Dresden förtydligat att dataskyddsombudet inte kan anförtros uppgifter och uppdrag som kan skada fullgörandet av de uppgifter som han eller hon utför i egenskap av dataskyddsombud. Detta eftersom artikel 38.6 i dataskyddsförordningen syftar till att bevara dataskyddsombudets funktionella oberoende och därmed säkerställa effektiviteten hos bestämmelserna i dataskyddsförordningen. Bedömningen av om ett visst uppdrag riskerar att leda till en intressekonflikt med uppdraget som DSO ska göras utifrån relevanta omständigheter i det enskilda fallet, bland annat mot bakgrund av den personuppgiftsansvariges eller personuppgiftsbiträdes organisatoriska struktur och dess interna regler/policys.

text: Integritetsskyddsmyndighetens bedömning

text: Den fråga som IMY ska ta ställning till är om det föreligger en intressekonflikt mellan rollen som dataskyddsombud för Swedavia och rollen som bolagets informationssäkerhetschef.

text: Enligt vad som framgår ovan kan funktioner som innebär ledande befattningar typiskt sett ge upphov till intressekonflikt med rollen som dataskyddsombud, eftersom det ofta innebär att denne är delaktig i beslut rörande personuppgiftbehandlingar på ett sådant sätt att dataskyddsombudets oberoende kan ifrågasättas. Även andra rollfördelningar som medför att en och samma person tvingas driva frågor med motstridiga intressen och i egenskap av dataskyddsombud granska sitt egna arbete kan, enligt IMY, innebära en intressekonflikt enligt artikel 38.6 i dataskyddsförordningen.

text: En av dataskyddsombudets viktiga uppgifter är att övervaka efterlevnaden av dataskyddsreglerna. En informationssäkerhetschef är å sin sida vanligtvis ansvarig för att skapa säkerhetsstrategier med särskilda prioriteringar och att skydda organisationens information. Den skyddsvärda informationen kan omfatta personuppgifter. De säkerhetslösningar som organisationen efterfrågar kan stå i motsats till det som skyddet för personuppgifter kräver. De dubbla rollerna kan därför innebära en intressekonflikt i enskilda frågor, men även en risk för att man kan komma att behöva granska sitt egna säkerhetsarbete ur ett dataskyddsperspektiv. Beroende på informationssäkerhetschefens arbetsbeskrivning och typen av verksamhet som det rör sig om, kan rollen som informationssäkerhetschef därför i många fall vara oförenlig med rollen som dataskyddsombud.

text: Swedavia har uppgett att deras informationssäkerhetschef inte har varit delaktig i fastställande av ändamålen och medlen för behandlingen av personuppgifter och att rollen främst är rådgivande och utbildande. Samtidigt har det av utredningen framkommit att det i informationssäkerhetschefens uppdrag också har ingått att utforma krav och regler för hur bolaget arbetar med informationssäkerhet vilket till viss del talar för att denne varit med och bestämt hur personuppgifter ska behandlas.

text: Vid en sammantagen bedömning anser dock IMY att det som framkommit i utredningen inte är tillräckligt för att konstatera att det, före det att Swedavia beslutat att separera rollerna, förelegat en intressekonflikt mellan rollen som dataskyddsombud och rollen som informationssäkerhetschef. IMY har särskilt beaktat att Swedavia har haft rutiner och mekanismer för att minska risken för intressekonflikter och extra resurser i form av dataskyddskoordinatorer och en bolagsjurist som löpande arbetat med dataskyddsfrågor.

text: Ärendet avslutas.

text: Detta beslut har fattats av enhetschefen Jonas Agnvall efter föredragning av juristen Lucia Trenkler. Vid den slutliga handläggningen har även tillförordnade rättschefen Cecilia Agnehall deltagit

text: Jonas Agnvall, 2024-06-27 (Det här är en elektronisk signatur)

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.


text: Regionstyrelsen i region Västerbotten

text: RS 1082-2023

text: Tillsynen har inledningsvis inneburit att regionstyrelsen har besvarat ett trettiotal frågor om bland annat dataskyddsombudets kvalifikationer, uppgifter och ställning. Frågorna

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 EDPB:s dokument om ram för samordnat genomförande enligt förordning 2016/679. Antaget den 20 oktober 2020. 08-657 61 00

text: 3EDPB:s rapport “2023 Coordinated Enforcement Action, Designation and Position of Data Protection Officers”, antagen den 16 januari 2024.

text: Artikel 29-gruppens riktlinjer om dataskyddsombud,

text: WP 243

text: rev. 01, senast granskade och antagna den 5 april 2017, sida 19.

text: EU-domstolens dom den 9 februari 2023, X-FAB Dresden,

text: , EU:C:2023:79, punkterna 41–42 samt 46.

sprak: sv

titel: regionstyrelsen i Region Västerbotten

nyckelord: Dataskydd Arbetsliv

amne: Dataskyddsombudets roll

korrigerandeAtgard: Region Västerbotten får en reprimand och ett föreläggande. Socialnämnden i Örebro får en reprimand. Ingen korrigerande åtgärd till övriga verksamheter.

lagakraft: Ja

lagrum: Artikel 38.1–3 och 38.6 i dataskyddsförordningen

nyckelord: Dataskyddsombud – ställning

overklagan: Nej

rubrik: Dataskyddsombudets ställning och risken för intressekonflikt

sammanfattning: IMY har granskat fem organisationer för att se om det föreligger intressekonflikt genom att dataskyddsombuden har andra uppdrag i verksamheten, exempelvis som informationssäkerhetschef eller Risk Manager. IMY har även kontrollerat ytterligare en verksamhet för att se om ombudet har den roll och de resurser som krävs. I ett av fallen bedömer IMY att det föreligger en intressekonflikt genom att dataskyddsombudet har uppdrag att som regionjurist ge råd i dataskyddsfrågor till verksamheten. Dataskyddsombudet tvingas därmed granska det dataskyddsarbete som utförts som rådgivare, vilket gör att ombudets oberoende kan ifrågasättas. I de övriga fallen bedömer IMY att det i det enskilda fallet inte råder någon intressekonflikt. I granskningen av ombudets roll och resurser konstateras att verksamheten bland annat inte säkerställt att dataskyddsombudet i god tid deltar i alla frågor som rör skyddet av personuppgifter eller att ombudet rapporterar direkt till den högsta förvaltningsnivå. Läs tillsynsbesluten

publisher: Integritetsskyddsmyndigheten

slug: dataskyddsombudens-roll-och-stallning

title: Dataskyddsombudens roll och ställning – regionstyrelsen i Region Västerbotten

org: imy

sammanfattning: Integritetsskyddsmyndigheten (IMY) har granskat hur fem verksamheter med dataskyddsombud hanterar eventuella intressekonflikter för ombuden. Dessutom har ytterligare en verksamhet granskats för att kontrollera att ombudet har den roll och de resurser som krävs.

text: IMY-2023-7987 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen – Regionstyrelsen i region Västerbotten

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att regionstyrelsen i region Västerbotten har överträtt artikel 38.6 i dataskyddsförordningen genom att tilldela dataskyddsombudet uppgifter och uppdrag som leder till en intressekonflikt med uppdraget som dataskyddsombud.

text: Integritetsskyddsmyndigheten beslutar att ge regionstyrelsen i region Västerbotten en reprimand enligt artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

text: Integritetsskyddsmyndigheten förelägger enligt artikel 58.2 d i dataskyddsförordningen regionstyrelsen i region Västerbotten att vidta åtgärder för att säkerställa att dataskyddsombudet inte har uppgifter eller uppdrag som leder till en intressekonflikt med uppdraget som dataskyddsombud. Åtgärderna ska ha vidtagits senast fyra veckor efter att detta beslut vunnit laga kraft.

text: Redogörelse för tillsynsärendet

text: Bakgrund m.m.

text: Den europeiska dataskyddsstyrelsen (EDPB) har under 2023 genomfört en samordnad åtgärd med syftet att undersöka om dataskyddsombuden har den roll samt de resurser som förutsätts enligt artiklarna 37–39 i dataskyddsförordningen. Integritetsskyddsmyndigheten (IMY) har deltagit i den samordnade åtgärden och genomfört den i form av tillsyn mot ett femtiotal personuppgiftsansvariga. Det är mot denna bakgrund som IMY har inlett tillsyn mot regionstyrelsen i region Västerbotten (regionstyrelsen).

text: har sin grund i ett frågeformulär som EDPB har skapat inom ramen för den samordnade åtgärden.

text: Målet med en samordnad åtgärd som denna har varit att i bred mening underlätta gemensamma åtgärder på ett flexibelt men samordnat sätt, allt ifrån att öka den gemensamma medvetenheten och samla in information till att kontrollera verkställighet och utföra gemensamma utredningar. Detta möjliggör riktad uppföljning och åtgärder både på nationell nivå och genom EDPB. Resultatet från granskningen har sammanställts i en rapport från EDPB.

text: Av de tillsyner som IMY inlett inom ramen för den samordnade åtgärden har myndigheten gått vidare med ett mindre urval för att göra en fördjupad granskning av några frågeställningar. Denna tillsyn är ett av dessa ärenden där IMY sett anledning att ställa kompletterande frågor till regionstyrelsen, såsom personuppgiftsansvarig, avseende artikel 38.6 i dataskyddsförordningen. Syftet har varit att utreda om det i strid med artikeln föreligger en intressekonflikt mellan rollen som dataskyddsombud och dataskyddsombudets övriga uppgifter och uppdrag inom organisationen. IMY har inte granskat huruvida regionstyrelsen i övrigt uppfyller artiklarna 37–39 i dataskyddsförordningen utifrån tidigare lämnade svar.

text: Vad regionstyrelsen i region Västerbotten har uppgett

text: Regionstyrelsen har i huvudsak uppgett följande. Region Västerbotten består av flera nämnder och förutom regionstyrelsen har dataskyddsombudet även utsetts till dataskyddsombud för Hälso- och sjukvårdsnämnden, Regionala utvecklingsnämnden och Folkhögskolestyrelsen. Utöver rollen som dataskyddsombud arbetar dataskyddsombudet även som regionjurist vid en juridikfunktion som finns inom ledningsstaben. Juridikfunktionens uppdrag är att verka för att regionens verksamhet bedrivs i enlighet med gällande rätt, bidra med kunskap och driva övergripande strategisk utveckling. Den ger också råd, stöd och vägledning till ledningen och verksamheterna, utbildar och deltar i utvecklingsarbeten. Rollen som regionjurist innebär inte ett sådant inflytande att man är delaktig i att bestämma ändamålen och medlen med personuppgiftsbehandlingen. Den innebär inte heller ett ledningsansvar. I likhet med rollen som dataskyddsombud lämnar regionjuristen enbart råd till ledningen utifrån legala krav som ställs på verksamheten i exempelvis dataskyddsfrågor.

text: Dataskyddsombudet arbetar inte operativt med dataskyddsfrågor utan ger enbart råd och stöd till verksamheterna och nämnderna. Regionen har i stället ett expertnätverk för dataskydd och informationssäkerhet dit verksamhetens frågor hänvisas och hanteras. Dataskyddsombudet och informationssäkerhetssamordnaren är delaktiga i nätverket, som lämnar råd och rekommendationer till linje- och objektverksamheterna i både övergripande och specifika frågeställningar. Syftet med nätverket är också att involvera dataskyddsombudet i frågor som har påverkan på dataskyddet i verksamheten. Stor del av det operativa dataskyddsarbetet hanteras inom objektverksamheterna som ansvarar för att systemen följer dataskyddsförordningen.

text: Dataskyddsombudet utarbetar inte styrande dokument på området, utan ger råd till verksamheten om vilken styrning som behöver utarbetas och granskar innehållet. Det är vanligtvis informationssäkerhetsfunktionen som utarbetar dessa dokument och praktiskt stöttar verksamheten i genomförandet av dataskyddsåtgärder. Vidare utför

text: dataskyddsombudet årliga kontroller gällande följsamheten till dataskyddsförordningen och överlämnar rapport till personuppgiftsansvarig.

text: Dataskyddsombudet har arbetat som både regionjurist och dataskyddsombud till och från sedan dataskyddsförordningen trädde i kraft men permanent sedan våren 2022. Tidigare har informationssäkerhetssamordnaren haft rollen som dataskyddsombud. Anledningen till att regionjuristen permanent utsågs till dataskyddsombud våren 2022 var att regionstyrelsen på ett tydligare sätt ville skilja den oberoende kontrollen av organisationens dataskyddsarbete och implementering av råd och rekommendationer åt, där informationssäkerhetsfunktionen nu mer handgripligt stöttar verksamheten i implementeringen av givna råd. Dataskyddsombudet rekommenderar ”vad:et”, informationssäkerhetsfunktionen tar fram ”hur:et” och verksamheterna genomför. På så sätt elimineras risken att dataskyddsombudet kontrollerar sitt eget arbete.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Rollen som dataskyddsombud regleras i artiklarna 37–39 i dataskyddsförordningen. Dataskyddsombudet ska bland annat informera och ge råd inom organisationen om tillämplig dataskyddslagstiftning, övervaka organisationens efterlevnad av dataskyddslagstiftningen och interna styrdokument, ge råd om konsekvensbedömningar samt vara kontaktperson för tillsynsmyndigheten. Dataskyddsombudet ska vara oberoende och självständig i utförandet av sina arbetsuppgifter, vilket framgår av skäl 97.

text: Kravet att det inte får föreligga intressekonflikter är nära kopplat till kravet att dataskyddsombuden ska kunna agera på ett oberoende sätt. Även om dataskyddsombud får ha andra funktioner, kan de anförtros andra uppgifter och uppdrag endast på villkor att de inte ger upphov till intressekonflikter. Detta innebär särskilt att dataskyddsombudet inte kan inneha en sådan tjänst inom organisationen som innebär att han eller hon fastställer ändamålen med och medlen för behandlingen av personuppgifter. Detta måste avgöras från fall till fall beroende på hur organisationen är strukturerad.

text: EU-domstolen har i målet X-FAB Dresden förtydligat att dataskyddsombudet inte kan anförtros uppgifter och uppdrag som kan skada fullgörandet av de uppgifter som han eller hon utför i egenskap av dataskyddsombud. Detta eftersom artikel 38.6 i dataskyddsförordningen syftar till att bevara dataskyddsombudets funktionella oberoende och därmed säkerställa effektiviteten hos bestämmelserna i dataskyddsförordningen. Bedömningen av om ett visst uppdrag riskerar att leda till en intressekonflikt med uppdraget som dataskyddsombud ska göras utifrån relevanta omständigheter i det enskilda fallet, bland annat mot bakgrund av den personuppgiftsansvariges eller personuppgiftsbiträdes organisatoriska struktur och dess interna regler/policys.

text: Integritetsskyddsmyndighetens bedömning

text: Den fråga som IMY ska ta ställning till är om det föreligger en intressekonflikt mellan rollen som dataskyddsombud för regionstyrelsen och rollen som regionjurist vid regionstyrelsens ledningsstab.

text: Regionstyrelsen har uppgett att dataskyddsombudet, utöver denna roll, även arbetar som regionjurist vid juridikfunktionen inom ledningsstaben. Varken uppdraget som dataskyddsombud eller regionjurist innebär att man arbetar operativt med dataskyddsfrågor, utan arbetsuppgifterna innebär rådgivning och stöd till regionstyrelsen samt ett flertal nämnder och verksamheter inom regionen. Regionen har ett expertnätverk för dataskydd och informationssäkerhet vars syfte är att hantera verksamheternas frågor. Det operativa dataskyddsarbetet hanteras inom objektverksamheterna som ansvarar för att systemen följer dataskyddsförordningen. Vidare utarbetar dataskyddsombudet inga styrande dokument avseende dataskydd. Denna typ av dokument utarbetas i stället av informationssäkerhetsfunktionen, som även stöttar verksamheten praktiskt i genomförandet av dataskyddsåtgärder och dataskyddsombudets råd.

text: IMY konstaterar att det inte framkommit i ärendet att regionstyrelsens dataskyddsombud varken i denna roll, eller i sitt arbete som regionjurist, arbetar på ett sätt som innebär att vara delaktig i fastställandet av ändamål och medel för behandlingen av personuppgifter. Rollen som regionjurist innebär dock att dataskyddsombudet hanterar dataskyddsfrågor vid en funktion inom ledningsstaben.

text: Enligt dataskyddsförordningen ska dataskyddsombudet oberoende och självständigt granska organisationens efterlevnad av dataskyddsreglerna. Det innebär att det ingår i dataskyddsombudets uppdrag att granska dataskyddsarbetet inom ledningsstaben, vilket dataskyddsombudet i sin roll som regionjurist genom rådgivning är delaktig i.

text: IMY bedömer mot denna bakgrund att regionstyrelsen har tilldelat dataskyddsombudet uppgifter och uppdrag som medför en intressekonflikt i förhållande till uppdraget som dataskyddsombud. Regionstyrelsen har därmed överträtt artikel 38.6 i dataskyddsförordningen.

text: Val av ingripande

text: Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra en administrativ sanktionsavgift. Beroende på omständigheterna i det enskilda fallet ska en administrativ sanktionsavgift påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel ett föreläggande eller ett förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om en

text: administrativ sanktionsavgift ska påföras och vid bestämmande av avgiftens storlek. Om det är frågan om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar följande relevanta omständigheter. Den aktuella överträdelsen har inneburit att dataskyddsombudet granskat det dataskyddsarbete som han eller hon är delaktig i inom ramen för uppdraget som regionjurist. Dataskyddsombudet har därmed inte kunnat granska organisationens efterlevnad av dataskyddsförordningen på ett oberoende och självständigt sätt, vilket kan leda till risker för de registrerades fri- och rättigheter. Överträdelsen har pågått sedan våren 2022 men även dessförinnan när regionjuristen periodvis har arbetat som dataskyddsombud. IMY konstaterar dock att det utifrån underlaget i ärendet inte går att dra några slutsatser om eller i vilken utsträckning registrerade har lidit skada med anledning av detta. Regionstyrelsen har inte tidigare konstaterats ha överträtt dataskyddsbestämmelserna i nu relevant avseende. Mot denna bakgrund bedömer IMY att det är fråga om en mindre överträdelse i den mening som avses i skäl 148 i dataskyddsförordningen. Regionstyrelsen ska därför ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

text: Vidare konstaterar IMY att den aktuella överträdelsen är pågående vid tidpunkten för detta beslut. IMY anser därför att det finns skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga regionstyrelsen att vidta åtgärder för att säkerställa att dataskyddsombudet inte har uppgifter eller uppdrag som leder till en intressekonflikt med uppdraget som dataskyddsombud. Åtgärderna ska ha vidtagits senast fyra veckor efter att detta beslut vunnit laga kraft.

text: Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av juristen Shirin Daneshgari Nejad. Vid den slutliga handläggningen har även tillförordnade rättschefen Cecilia Agnehall deltagit.

text: Nidia Nordenström, 2024-06-27 (Det här är en elektronisk signatur)

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


text: Klarna Bank AB Sveavägen 46 111 34, Stockholm Dataprotectionofficer@klarna.com

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

titel: Beslut

nyckelord:
Dataskydd
Dina rättigheter

amne: Registrerades rättigheter

korrigerandeAtgard: reprimand

lagrum: artikel 16, 12.2, 5.1 d och 25 dataskyddsförordningen, GDPR

nyckelord: Kunder, Bank och finans, rättelse, underlätta utövandet

rubrik: Rätten till rättelse och skyldigheten att underlätta utövandet av registrerades rättigheter

sammanfattning: En kund hos Klarna Bank AB har gjort en begäran om rättelse av sin e-postadress kopplad till sitt Klarna-kort. Bolaget har inte tillmötesgått begäran utan istället hänvisat kunden till att beställa ett nytt kort. Motiveringen har varit att det inte är tekniskt möjligt att rätta e-postadressen. IMY har prövat hur bolagets hantering förhåller sig till kundens rätt till rättelse och skyldigheten för bolaget att underlätta utövandet av kundens rätt till rättelse. Som kund har man rätt att få felaktiga personuppgifter rättade. Bolaget har haft en skyldighet och ett ansvar att rätta kundens e-postadress. Genom att hänvisa kunden till att beställa ett nytt kort har bolaget frångått denna skyldighet. Klarna Bank AB har en skyldighet att proaktivt utforma lösningar som gör det lättare för registrerade att utöva sina rättigheter. Bolaget kan inte frångå denna skyldighet genom utformningen av sina system. Bolaget har, genom sin motivering att det inte är tekniskt möjligt att rätta e-postadressen, inte underlättat för klaganden att utöva sin rätt till rättelse. Läs tillsynsbeslutet

title: Klarna Bank AB, rättelse av felaktiga uppgifter

sammanfattning: IMY har prövat hur bolagets hantering förhåller sig till kundens rätt till rättelse och skyldigheten för bolaget att underlätta utövandet av kundens rätt till rättelse. IMY ger bolaget en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av artiklarna 12.2 och 16 i dataskyddsförordningen.

text: IMY-2023-8336 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Klarna Bank AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att utredningen i ärendet visar att Klarna Bank AB har behandlat personuppgifter i strid med:

text: • artikel 12.2 i dataskyddsförordningen genom att inte ha underlättat klagandens utövande av sin rätt till rättelse enligt artikel 16 i enlighet med sin begäran av den 8 juni 2020.

text: • artikel 16 genom att inte möjliggöra för klaganden att ändra sin e-postadress i enlighet med sin begäran av den 8 juni 2020.

text: Integritetsskyddsmyndigheten ger Klarna Bank AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av artiklarna 12.2 och 16 i dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Klarna Bank AB (Klarna eller bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämnandet har skett från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål (Tyskland) i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

text: Utredningen i ärendet har genomförts genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Österrike, Ungern, Danmark, Tyskland, Norge, Finland, Italien, Nederländerna, Polen, Irland, Frankrike, Estland och Spanien.

text: Klagomålet

text: Klaganden har i huvudsak uppgett följande. Klaganden har ett Klarnakort och har begärt rättelse av den e-postadress som är kopplad till kortet. Klarna har i sin återkoppling till klaganden uppgett att det inte är tekniskt möjligt att ändra epostadressen som är kopplad till klagandens kort och att klaganden därför behöver beställa ett nytt kort för att få sin e-postadress ändrad. Ett nytt Klarnakort skulle dock påverka klagandens kreditvärdighet.

text: Vad Klarna Bank AB har uppgett

text: Klarna har i huvudsak uppgett följande. Klarna är personuppgiftsansvarig för den aktuella behandlingen. Begäran om rättelse inkom till Klarna den 8 juni 2020 samt den 16 juli 2020. Klarna har hanterat klagandens begäran som inkom den 8 juni genom att en kundtjänstmedarbetare informerat om att uppgifter kopplat till ett redan utfärdat kort inte går att ändra samt att klaganden därför behöver beställa ett nytt kort för att få sin e-postadress ändrad. Den kundtjänstmedarbetare som behandlat begäran som inkom den 16 juli 2020 har också informerat klaganden om att e-postadressen för alla öppna fakturor har ändrats.

text: Bolaget saknar möjligheter att kunna ändra uppgifter kopplat till ett kort som redan har utfärdats. Eftersom bolaget använder sig av e-postadressen som kundens kort är kopplat till som identifikationspunkt, och som en del av sin verifieringsprocess, innebär det i praktiken att ett nytt kort måste utfärdas för att e-postadressen ska kunna ändras.

text: Klarna Bank AB kan inte rätta e-postadressen som är kopplad till klagandens Klarnakort eftersom klaganden den 16 juli 2020 begärde radering av sina personuppgifter hos Klarna. Klaganden begärde vid samma tillfälle också makulering av sitt Klarnakort.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Enligt artikel 12.2 ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15-22.

text: Enligt artikel 16 i dataskyddsförordningen ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga uppgifter som rör honom eller henne rättade. Rättelse av en personuppgift får anses innebära att den ursprungliga, felaktiga, personuppgiften ersätts med en personuppgift om de rätta förhållandena.

text: Artikel 25 i dataskyddsförordningen ställer krav på att den personuppgiftsansvariga, med beaktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska, både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen, genomföra lämpliga tekniska och organisatoriska åtgärder – såsom pseudonymisering – vilka är utformade för ett effektivt genomförande av dataskyddsprinciper – såsom uppgiftsminimering – och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i denna förordning uppfylls och den registrerades rättigheter skyddas.

text: Enligt Artikel 5.1 d ska, vid behandling av personuppgifter, uppgifterna vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (principen om riktighet).

text: Integritetsskyddsmyndighetens bedömning

text: När klaganden den 8 juni 2020 begärde att få sin e-postadress rättad uppgav bolaget att det inte finns någon teknisk möjlighet att vidta rättelse av uppgiften och uppmanade därför klaganden att beställa ett nytt Klarnakort. Enligt Klarna beror detta på att e-postadressen som kundens kort är kopplat till används som identifikationspunkt, och som en del av Klarnas verifieringsprocess. Detta gör att det enda sättet att kunna ändra eller få sin e-postadress rättad är att ett nytt kort beställs och utfärdas.

text: Enligt artikel 16 har den registrerade rätt att av den personuppgiftsansvarige få felaktiga personuppgifter rättade. Det är den personuppgiftsansvarige som ska vidta åtgärder för att rätta felaktiga uppgifter när den registrerade begär det, inte den registrerade (jfr principen om riktighet i artikel 5.1 d som innebär att den personuppgiftsansvarige även har en skyldighet att på eget initiativ rätta felaktiga uppgifter). Vad som utgör en felaktig personuppgift och huruvida en personuppgift ska rättas eller inte, ska bedömas och avgöras i förhållande till de ändamål för vilka personuppgifterna behandlas. Om kontaktuppgifter används för exempelvis kommunikation är det nödvändigt med hänsyn till ändamålet för behandlingen av uppgifterna att dessa är uppdaterade. Att begära att den registrerade ska beställa ett nytt Klarna-kort för att få sin e-postadress rättad var inte ett godtagbart sätt för bolaget att fullgöra sina förpliktelser enligt artikel 16. IMY konstaterar därmed att Klarna Bank AB brutit mot artikel 16 i dataskyddsförordningen genom att inte rätta den klagandes personuppgifter.

text: Enligt artikel 12.2 i dataskyddsförordningen har den personuppgiftsansvarige en skyldighet att underlätta utövandet av bl.a. den registrerades rätt till rättelse enligt artikel 16. Innebörden av denna skyldighet utvecklas i skäl 59 där det bl.a. anges att det bör fastställas förfaranden som gör det lättare för registrerade att utöva sina rättigheter, inklusive mekanismer för att begära och i förekommande fall erhålla rättelse. Artikel 12.2 innefattar således en skyldighet för den personuppgiftsansvarige att proaktivt utforma lösningar som gör det lätt för den registrerade att utöva sina rättigheter. Den lösning som bolaget har erbjudit har inte möjliggjort för den registrerade att få sin e-postadress rättad i och med lösningen som bolaget har erbjudit, d.v.s. att klaganden ska beställa ett nytt kort.

text: IMY anser, i ljuset av artikel 5.1 d och artikel 25 i dataskyddsförordningen, att lösningen som bolaget har erbjudit d.v.s. att klaganden ska beställa ett nytt Klarnakort, har försvårat för klaganden att utöva sin rätt till rättelse. Att underlätta för den registrerade handlar om att ha enkla och tydliga kommunikationssätt för att utöva sina rättigheter. Genom att hänvisa klaganden till att beställa ett nytt kort mot bakgrund av hur bolagets system är utformat, har bolaget inte möjliggjort utövandet av klagandens rättighet. Bolaget kan inte frångå sina skyldigheter enligt dataskyddsförordningen genom utformningen av sina egna system. Tvärtom ställer förordningen, som framgår ovan, krav på att den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter. Bolagets motivering, d.v.s. att det inte är möjligt att vidta rättelse av tekniska skäl, får anses strida mot detta.

text: IMY konstaterar därmed att Klarna Bank AB brutit mot artikel 12.2 i dataskyddsförordningen genom att inte ha underlättat klagandens utövande av sin rättighet enligt artikel 16 att få sin e-postadress rättad.

text: Val av ingripande

text: Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar följande relevanta omständigheter. Klarna har överträtt artikel 16 och artikel 12.2 i dataskyddsförordningen genom att inte ha efterlevt eller underlättat klagandens begäran om rättelse enligt artikel 16. Denna tillsyn har endast avsett en persons uppgifter. Klarna har också återkopplat till klaganden och motiverat varför det inte är möjligt för bolaget att vidta rättelse av e-postadressen. Vidare har Klarna erbjudit klaganden ett alternativ för att få sin e-postadress rättad. Klarna kan därför inte anses ha haft för avsikt att förvägra klaganden rättelsen av dennes e-postadress.

text: Mot denna bakgrund bedömer IMY att det är fråga om en sådan mindre överträdelse i den mening som avses i skäl 148 dataskyddsförordningen som medför att Klarna Bank AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

text: Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen Sadia Dost.

text: Albin Brunskog, 2024-01-09 (Det här är en elektronisk signatur)

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.


text: UAS (Unmanned Aircraft System) avser ett system som består av ett obemannat luftfartyg (UAV, Unmanned Aircraft Vehicle) och de komponenter som krävs för dess drift. En UAV kan styras automatiskt, självständigt eller av fjärrpilot. Termen drönare används som vardaglig benämning för UAV. 2 Lag (

text: ) om ändring i

text: kamerabevakningslagen (2018:1200)

text: . 3 14 a och b §§ KBL. 4 IMY är tillsynsmyndighet enligt

text: brottsdatalagen

text: och utövar även tillsyn över kamerabevakning enligt

text: kamerabevakningslagen

text: 66 beslut i Polisregion Mitt, 4 beslut i Polisregion Nord, 36 beslut i Polisregion Stockholm, 32 beslut i Polisregion Syd, 33 beslut i Polisregion Väst samt 21 beslut i Polisregion Öst. Av Polismyndighetens yttrande den 10 april 2024 framgår att Region Bergslagen har regionala riktlinjer som anger att inga beslut om kamerabevakning med UAS får vara längre än sju dagar. 6

text: Prop. 2017/18:231 s. 134

text: prop. 2018/19:147 s. 69

text: och

text: prop. 2024/25:93 s. 134

text: och

text: . 7 I

text: 1 kap. 2 § 4 st. regeringsformen

text: (RF) finns ett målsättningsstadgande, riktat till alla som utövar offentlig makt, som anger att det allmänna ska värna den enskildes privatliv och familjeliv. I förarbetena framhålls att den enskildes rätt till

text: en fredad sektor är av så väsentlig betydelse i en demokratisk stat att det bör komma till ett mera allmänt uttryck i RF (

text: prop. 1975/76:209 s. 131

text: ). Den enskildes personliga integritet i förhållande till det allmänna ges ett mer uttryckligt skydd i

text: 2 kap. 6 § 2 st.

text: RF, som föreskriver att var och en är skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. I förarbetena uttalas att respekten för individens självbestämmande är grundläggande i en demokrati. Vikten av respekt för individens rätt att själv förfoga över och ta ställning till det allmännas tillgång till sådan information som rör hans eller hennes privata förhållanden kommer genom bestämmelsen att betonas på ett tydligare sätt. En sådan förstärkning av integritetsskyddet kan förväntas främja intresset av en fri åsiktsbildning (

text: prop. 2009/10:80 s. 176

text: ). 8 Enligt

text: artikel 8 i Europakonventionen

text: har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Denna rätt omfattar även skydd mot övervakning i olika former. Det allmänna får inte inskränka denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt bland annat för att förebygga brott eller till skydd för andra personers fri- och rättigheter. Rätten till skydd för privat- och familjeliv garanteras genom

text: artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna

text: (EU-stadgan).

text: Artikel 8 i EU-stadgan

text: innehåller dessutom en särskild rätt till skydd för fysiska personer vid behandling av personuppgifter, vilket ytterligare markerar integritetsskyddets centrala betydelse inom unionsrätten. 9

text: Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF. 10 Artikel 1 i brottsdatadirektivet. 11 Enligt 1 kap. 6 § BDL avses med personuppgiftsansvarig den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Av 3 kap. 1 § BDL framgår att den personuppgiftsansvarige ansvarar för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. I enlighet med 1 kap. 4 § PBDL är Polismyndigheten personuppgiftsansvarig för den behandling av personuppgifter som utförs vid myndigheten. 12 Med en behörig myndighets uppgift avses enligt 2 kap. 1 § andra stycket BDL en uppgift som framgår av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Polismyndighetens ändamål och uppgifter regleras bland annat i

text: 2 §§

text: polislagen (1984:387)

text: , PL. 13 Nödvändighetsrekvisitet innebär att behandlingen måste behövas för att uppgiften ska kunna fullgöras på ett effektivt sätt och att syftet med behandlingen inte kan uppnås genom mindre ingripande åtgärder. Kravet på nödvändighet innebär inte att det behöver vara omöjligt att fullgöra förpliktelsen eller att utföra uppgiften om personuppgiften inte behandlas. Se

text: SOU 1997:39 s. 362

text: och EU-domstolens dom den 16 december 2008, Huber,

text: . 14 2 § KBL. 15 1 § KBL.

text: HFD 2016 ref. 71

text: . Det motsatta ansågs dock gälla för dashcam monterad på vindrutan i en bil och kamera monterad på ett cykelstyre 17 3 § 1 KBL. 18

text: Prop. 2018/19:147 s. 63

text: . 19 14 a § andra stycket KBL och 8 § andra stycket KBL i lydelsen enligt SFS 2019:1163. 20 14 a § tredje stycket KBL och 8 § tredje stycket KBL i lydelsen enligt SFS 2019:1163. 21

text: Prop. 2018/19:147 s. 40

text: . 22

text: Prop. 2018/19:147 s. 43

text: Prop. 2018/19:147 s. 42

text: f. 24 11 § andra stycket tredje punkten KBL (SFS 2018:1200) i lydelsen före 1 april 2025. Den 1 april 2025 trädde ändringar i KBL ikraft, som bl.a. innebar att all tillståndsplikt enligt KBL upphörde. 25

text: Prop. 2018/19:147 s. 43

text: . 26

text: Prop. 2024/25:93 s. 111

text: . 27

text: Prop. 2018/19:147 s. 28

text: . 28

text: Prop. 2017/18:231 s. 72

text: . 29 13 § andra stycket tredje punkten KBL (SFS 2018:1200) i lydelsen före 1 april 2025. 30

text: Prop. 2017/18:231 s. 75

text: . 31

text: SOU 2016:41 s. 39

text: Enligt 14 a § tredje stycket KBL (SFS 2019:1163) ska vid bedömningen av den enskildes intresse av att inte bli bevakad 8 § tredje stycket (SFS 2018:1200) tillämpas. 33

text: HFD 2023 ref 6

text: prop. 2017/18:231 s. 70

text: och

text: RÅ 2001 ref 39

text: . 34 https:// 35

text: Prop. 2017/18:231 s. 145

text: . 36

text: Prop. 2017/18:231 s. 99

text: f och

text: prop. 2024/25:93 s. 142

text: . 37

text: Prop. 2017/18:231 s. 67

text: . 38

text: Prop. 2017/18:231 s. 78

text: f.

text: Prop. 2017/18:231 s. 145

text: . 40

text: Prop. 2017/18:231 s. 145

text: . 41

text: HFD 2023 ref 6

text: . 42

text: Prop. 2017/18:231 s. 145

text: . 43 Jämför med skäl 38 i dataskyddsförordningen och skäl 50 i brottsdatadirektivet. 44 EDPB:s

text: Riktlinjer 3/2019

text: för behandling av personuppgifter genom videoenheter, version 2.0, antagna den 29 januari 2020, punkt 36 – 38. 45 https://

text: EDPB:s

text: Riktlinjer 3/2019

text: , punkt 40. 47 I 2 kap. 8 § BDL stadgas principen om uppgiftsminimering, enligt vilken behandling av personuppgifter ska vara adekvat, relevant och inte mer omfattande än nödvändigt i förhållande till ändamålen. Se även

text: prop. 2017/18:232 s. 445

text: och

text: samt

text: HFD 2023 ref. 6

text: , där vikten av att begränsa behandling av uppgifter om personer utan relevans för ändamålet betonas. 48 Se fotnot 11.

text: Av 14 a § tredje stycket KBL i den lydelse som gällde när Polismyndigheten fattade de granskade besluten (SFS 2019:1163) framgår att vid bedömningen av den enskildas intresse av att inte bli bevakade ska 8 § KBL tredje stycket KBL (SFS 2018:1200) tillämpas. Den 1 april 2025 trädde ett flertal ändringar i KBL ikraft; lag (

text: ) om ändring i

text: kamerabevakningslagen (2018:1200)

text: . De faktorer som särskilt ska beaktas vid bedömningen av integritetsintresset framgår efter ändringen direkt av

text: 14 a §

text: KBL. De bestämmelser som är aktuella för denna tillsyn – bland annat huvudregeln i

text: 14 a § första stycket

text: KBL om att kamerabevakning endast får bedrivas om en intresseavvägning visar att bevakningsintresset väger tyngre än den enskildes intresse av att inte bli bevakad – har inte ändrats i relevanta delar. Detsamma gäller kravet på dokumentation enligt

text: 14 b § tredje stycket

text: KBL, utöver att ett krav på att bevara dokumentationen i fem år efter det att bevakningen har upphört har tillkommit. De faktorer som enligt

text: 14 a § tredje stycket

text: KBL särskilt ska beaktas vid bedömningen av den enskildes intresse av att inte bli bevakad är också oförändrade. Polismyndigheten ska tillmäta skyddet för den personliga integriteten samma tyngd som tidigare (

text: prop. 2024/25:93 s. 130

text: ). 50 Exempel på vad IMY avser med typer av områden är ett bostadsområde, ett rekreationsområde, en plats där barn eller unga vistas, en särskilt frekventerad plats, ett sjukhusområde, en plats för religionsutövning. 51 Jfr.

text: prop. 2017/18:231 s. 72

text: och

text: . 52 Tidsperiod 15 februari 2023–1 maj 2023 respektive 1 juni 2023–8 januari 2024 kl. 15.00–06.00 (vid behov under begränsad tid och utifrån noggrann behovsprövning utifrån aktuell lägesbild).

text: Prop. 2018/19:147 s. 43

text: . 54 Se exempelvis beslut daterade den 15 februari 2023 respektive den 25 maj 2023 (A560.908/2022).

titel: Beslut i tillsyn om Polisens kamerabevakning med UAS

nyckelord:
Kamerabevakning
Dina rättigheter

title: Polisens kamerabevakning med UAS

sammanfattning: IMY har granskat beslut av Polismyndigheten om övervakning med drönarsystem. IMY konstaterar att det finns en risk för att Polismyndigheten kan komma att bedriva kamerabevakning med drönarsystem i strid med 14 a § kamerabevakningslagen. IMY lämnar därför följande råd till Polismyndigheten: Den nationella styrningen avseende beslut om kamerabevakning med drönarsystem bör kompletteras med närmare instruktioner i syfte att säkerställa – att de faktiska områden eller typer av områden som ingår i det aktuella bevakningsområdet identifieras, analyseras och beaktas vid bedömningen av integritetsintresset – att beslutsdokumentationen utformas på ett sådant sätt att det tydligt framgår vilka områden eller typer av områden inom det aktuella bevakningsområdet som – i dess helhet eller i vissa delar – som utgångspunkt inte får bevakas eller endast får bevakas under vissa villkor.

text: 1. Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att det finns en risk för att Polismyndigheten kan komma att bedriva kamerabevakning med UAS i strid med

text: 14 a § kamerabevakningslagen (2018:1200)

text: Integritetsskyddsmyndigheten lämnar därför, med stöd av

text: 5 kap. 6 § första stycket brottsdatalagen (2018:1177)

text: , följande råd.

text: Den nationella styrningen avseende beslut om kamerabevakning med UAS bör kompletteras med närmare instruktioner i syfte att säkerställa

text: - att de faktiska områden eller typer av områden som ingår i det aktuella bevakningsområdet identifieras, analyseras och beaktas vid bedömningen av integritetsintresset

text: - att beslutsdokumentationen utformas på ett sådant sätt att det tydligt framgår vilka områden eller typer av områden inom det aktuella bevakningsområdet som – i dess helhet eller i vissa delar – som utgångspunkt inte får bevakas eller endast får bevakas under vissa villkor.

text: 2. Redogörelse för tillsynsärendet

text: 2.1 Bakgrund

text: Den 1 januari 2020 avskaffades kravet i

text: kamerabevakningslagen

text: , KBL, på Polismyndigheten att ansöka om tillstånd från Integritetsskyddsmyndigheten (IMY) för att bedriva kamerabevakning. Polismyndigheten ansvarar sedan dess själv för att genomföra de bedömningar som krävs för att pröva om förutsättningarna för kamerabevakning inom ett visst område är uppfyllda samt att dokumentera dessa bedömningar på ett sätt som tydligt återspeglar de överväganden och bedömningar som gjorts utifrån de faktorer som särskilt ska beaktas enligt KBL.

text: IMY har inlett den aktuella tillsynen inom ramen för myndighetens tillsynsplanering och utan några indikationer på brister i Polismyndighetens verksamhet. Det övergripande syftet med tillsynen är att granska om Polismyndigheten följer gällande bestämmelser om behandling av personuppgifter vid beslut om kamerabevakning med UAS i den brottsbekämpande verksamheten.

text: 2.2 Avgränsning och genomförande

text: Polismyndigheten har på begäran av IMY gett in en förteckning över samtliga beslut om kamerabevakning med UAS (nedan UAS-bevakning) under perioder om åtta dagar eller längre som fattats under 2023 med stöd av KBL. Förteckningen omfattar totalt

text: 192 beslut. Utifrån förteckningen har IMY gjort ett urval baserat bland annat på storleken av de geografiska områden som besluten avser samt bevakningsperiodens längd. IMY har begärt in sammanlagt 32 beslut och samtidigt ställt ett antal frågor till Polismyndigheten.

text: Tillsynen har avgränsats till att avse Polismyndighetens dokumentation och bedömningar av integritetsintresset i beslut som fattats med stöd av 14 a § KBL. IMY:s granskning omfattar därmed inte Polismyndighetens behovsbedömning eller den faktiska UAS-bevakning som genomförts med stöd av de aktuella besluten.

text: 2.3 Polismyndighetens uppgifter om nationella och regionala styrdokument

text: Polismyndigheten har i yttrande uppgett i huvudsak följande. Myndigheten har både nationella och regionala styrdokument avseende kamerabevakning. I flera polisregioner har särskilda regionala direktiv för UAS-bevakning tagits fram, medan det i andra regioner istället finns regionala riktlinjer eller rutiner. Dessa dokument skiljer sig åt, bland annat i fråga om tillämpningen av beslutsgrunder samt användningen av upprepade beslut eller beslut som avser längre tidsperioder.

text: Varje polisregion och nationell avdelning fattar självständigt beslut om den UASverksamhet som ska bedrivas inom respektive enhet, bland annat avseende ambitionsnivå, resurser, budget och fysisk placering. Det finns både regionala och nationella nätverk där beslutsfattare, fjärrpiloter och jurister fortlöpande samråder i frågor som rör bedömningar vid kamerabevakning. Omfattningen av bevakningen påverkas inte av att styrningen har olika format eller innehåll i olika polisregioner.

text: Under de senaste åren har ett arbete pågått med att stärka den nationella styrningen samt att ta fram ytterligare nationella styrdokument. Det finns även planer på att utveckla nationella utbildningar om kamerabevakning med UAS för att underlätta för beslutsfattare och fjärrpiloter. Avsikten är att såväl styrdokument och utbildningsinsatser ska bidra till ökad rättssäkerhet och ge beslutsfattare ett tydligt och pedagogiskt stöd i valet av lämplig beslutsform i det enskilda fallet.

text: Polismyndigheten har inom ramen för tillsynen gett in regionala direktiv, nationella styrdokument och vägledande dokument specifikt för användning av UAS samt styrdokument och vägledande dokument för kamerabevakning generellt.

text: 3. Motivering av beslutet

text: 3.1 Rättsliga utgångspunkter

text: 3.1.1 Den enskildes rättighetsskydd och tillämplig reglering

text: Kamerabevakning innebär som utgångspunkt ett intrång i grundläggande fri- och rättigheter, särskilt rätten till privatliv, personlig integritet och skydd för 6 7 personuppgifter. Dessa rättigheter skyddas genom

text: regeringsformen

text: samt på unions-

text: och konventionsrättslig nivå . Samtidigt har det allmänna ett grundläggande ansvar att skydda enskilda mot brott. Förhållande mellan integritetsskydd och brottsbekämpning

text: kommer tydligt till uttryck i brottsdatadirektivet , vars syfte är att säkerställa skyddet för fysiska personers grundläggande rättigheter, samtidigt som behöriga myndigheter ges möjlighet att behandla och utbyta personuppgifter för legitima och lagliga ändamål

text: inom brottsbekämpning och rättskipning. Brottsdatadirektivet har genomförts i svensk rätt genom

text: brottsdatalagen

text: , BDL, och

text: brottsdataförordningen (2018:1202)

text: , BDF, samt genom kompletterande registerförfattningar, däribland lagen (

text: ) om polisens behandling av personuppgifter inom

text: brottsdatalagens

text: område, PBDL.

text: I BDL och PBDL regleras Polismyndighetens ansvar som personuppgiftsansvarig . Polismyndigheten ska säkerställa att personuppgifter behandlas lagligt, korrekt och säkert, endast för tydligt angivna och nödvändiga ändamål, samt att den registrerades rättigheter tillvaratas. För att Polismyndigheten ska få bedriva kamerabevakning krävs att det finns rättslig grund. Enligt 2 kap. 1 § BDL och 2 kap. 1 § PBDL föreligger rättslig grund bland annat när behandlingen är nödvändig för Polismyndighetens

text: brottsbekämpande uppgifter eller för att upprätthålla allmän ordning och säkerhet.

text: Om kamerabevakningen inte är nödvändig för att uppfylla något av de aktuella ändamålen är bevakningen inte tillåten.

text: KBL är en speciallag som reglerar personuppgiftsbehandling vid kamerabevakning. Den har liksom BDL ett dubbelt syfte: att tillgodose behovet av kamerabevakning för

text: berättigade ändamål och att skydda enskilda mot otillbörliga integritetsintrång. Lagen

text: innehåller bestämmelser som genomför delar av brottsdatadirektivet och anger de förutsättningar som gäller för Polismyndighetens kamerabevakning inom den

text: brottsbekämpande verksamheten. KBL är emellertid inte tillämplig på alla former av kamerabevakning.

text: Kamerabevakningslagens

text: tillämplighet vid UAS-bevakning

text: Den svenska speciallagstiftningen på kamerabevakningsområdet har under lång tid omfattat bevakning med kameror monterade både på fasta och rörliga objekt, under förutsättning att utrustningen inte manövreras på platsen. Lagstiftaren behöll i KBL detta tillämpningsområde. Det är dock bevakningen på fasta objekt som har varit i fokus för lagstiftningen.

text: I den tidigare

text: kameraövervakningslagen (2013:460)

text: , KÖL, användes precis som i

text: 3 § första punkten

text: KBL, begreppet ”utan att manövreras på platsen” för att avgränsa lagens tillämpningsområde till fjärrstyrd eller automatiserad kamerabevakning. Högsta förvaltningsdomstolen, HFD, kom i ett avgörande 2016 till slutsatsen att kameror monterade på drönare inte manövreras på platsen, och därmed omfattades av KÖL. Begreppet ”utan att manövreras på platsen” i KBL har samma innebörd som det hade i KÖL och praxis avseende den lagen. UAS-bevakning omfattas därmed av KBL förutsatt att den ”innebär varaktig eller regelbundet upprepad personbevakning”.

text: 3.1.3 Den dokumenterade bedömning som Polismyndigheten ska göra

text: Om Polismyndigheten har rättslig grund för kamerabevakning som omfattas av

text: kamerabevakningslagen

text: ska en proportionalitetsbedömning genomföras enligt 14 a och b §§ KBL innan bevakningen påbörjas. Bedömningen ska säkerställa att bevakningsintresset väger tyngre än den enskildes intresse av att inte bli bevakad och omfatta bevakningens syfte, omfattning och förväntade effektivitet samt de integritetsrisker som bevakningen innebär. Av

text: 14 a § andra

text: och

text: tredje stycket

text: KBL följer vilka omständigheter som kan tala för ett tyngre vägande bevakningsintresse och vilka faktorer som ska beaktas särskilt vid bedömningen av integritetsintresset. Om integritetsriskerna är betydande krävs att bevakningsintresset väger särskilt tungt eller att riskerna kan begränsas genom tekniska eller organisatoriska skyddsåtgärder.

text: Bedömningen av bevakningsintresset i enlighet med 14 a § andra stycket KBL är ofta styrd av händelser som har inträffat på den plats som ska bevakas. Bevakningsintresset väger som regel som tyngst på de ytor där händelser har inträffat, men det kan i vissa fall även vara motiverat att bevaka kringliggande ytor av liknande karaktär. Vid bedömningen av integritetsintresset i enlighet med 14 a § tredje stycket KBL ska särskilt beaktas vilket område som ska bevakas. IMY konstaterar ifråga om ordvalet att ett område visserligen kan uppfattas som mer omfattande och mindre precist än en plats, men att det ändå måste anses vara fråga om en sammanhängande och på något sätt avgränsad yta.

text: Enligt 14 b § tredje stycket KBL ska intresseavvägningen dokumenteras. Dokumentationen ska vara tydlig och bör avse bedömningen i dess helhet. Några detaljerade formkrav på dokumentationen och vad den ska innehålla finns inte. Så länge dokumentationen återspeglar den helhetsbedömning som har gjorts, utifrån de

text: faktorer som särskilt ska beaktas, kan Polismyndigheten därför själv bestämma hur den ska utformas. Att dokumentationen ska återspegla bedömningen innebär att de krav som gäller för bedömningen även gäller för dokumentationen.

text: Eftersom bedömningen genom intresseavvägningen ska motsvara den prövning som tidigare gjordes i tillståndsärenden kan ledning ifråga om dokumentationen hämtas från de tidigare kraven på tillståndsansökans innehåll. Före den 1 april 2025 framgick av KBL att en ansökan om tillstånd till kamerabevakning ska innehålla

text: - bevakningens ändamål - en beskrivning av bevakningen, särskilt den utrustning som ska användas, var den ska placeras, det område eller typ av område som ska bevakas och de tider då bevakning ska ske - en bedömning av behovet av bevakningen och bevakningens proportionalitet i förhållande till ändamålet - en bedömning av riskerna för intrång i den personliga integriteten och en beskrivning av de åtgärder som planeras för att hantera riskerna - de omständigheter i övrigt som är av betydelse för prövningen av ärendet.

text: Dokumentationen bör därmed normalt omfatta det som anges i denna uppräkning. Dokumentationskravet bidrar till att säkerställa genomtänkta och motiverade beslut om kamerabevakning samt möjliggör effektiv tillsyn genom att bedömningarna är spårbara. Dokumentationen är även viktig för transparensen gentemot allmänheten och ska visa vilka överväganden som har gjorts i det enskilda fallet.

text: Anledningen till att det i uppräkningen i lagen angavs att en tillståndsansökan ska innehålla en beskrivning av ”det område eller typ av område som ska bevakas” var för att underlätta tillståndsförfarandet vid kamerabevakning från rörliga objekt som exempelvis fordon eller drönare. Ett särskilt utpekat område behövde därmed inte alltid beskrivas i ansökan. På samma sätt framgick av lagen att beslut om tillstånd ska förenas med villkor om hur bevakningen får anordnas och att dessa villkor bland annat ska avse ”det område eller typ av område som får bevakas”. Detta för att öka flexibiliteten vid kamerabevakning från rörliga objekt som exempelvis fordon och drönare. Av förarbetena framgick vidare att villkoren kan utformas på ett sätt som reglerar var bevakning inte får ske, t.ex. i närheten av bostadsbebyggelse eller friluftsområden om sådana behov inte finns.

text: 3.1.4 Faktorer som särskilt ska beaktas vid bedömningen av integritetsintresset

text: Det finns ingen exakt definition av begreppet personlig integritet. Begreppet kan sägas innefatta vad som normalt framstår som angeläget att värna om för att den enskilde ska vara tillförsäkrad en rimlig, fredad, privat zon . Kränkningar av den personliga integriteten kan därför beskrivas som intrång i en fredad sfär eller zon som den enskilde som utgångspunkt bör vara tillförsäkrad.

text: Omfattningen av det intrång som kamerabevakning som utgångspunkt innebär, varierar beroende på omständigheterna i det enskilda fallet. Utöver de faktorer som enligt 14 a § tredje stycket KBL särskilt ska beaktas kan även andra omständigheter påverka integritetsintressets tyngd. Som exempel kan integritetsintresset i viss mån anses försvagat om de enskilda som kan komma att bli föremål för kamerabevakning samtidigt är de som kamerabevakningen syftar till att skydda.

text: Bedömningen av integritetsintresset ska utgå från de faktiska förhållandena i det enskilda fallet. Först efter en sammantagen bedömning av samtliga relevanta omständigheter kan integritetsintresset på en viss plats beskrivas som vägande lätt, relativt tungt eller tungt. Enligt IMY:s uppfattning saknas stöd för att bedömningen av integritetsintresset ska utgå från ett på förhand bestämt läge (t.ex. högt, neutralt eller lågt integritetsintrång). Det avgörande är att integritetsbedömningen leder till ett resultat som på ett korrekt och materiellt riktigt sätt återspeglar den faktiska tyngden av enskildas intresse av att inte bli bevakade vid den konkreta kamerabevakningen.

text: Av 14 a § tredje stycket KBL följer att det finns tre faktorer som särskilt ska beaktas vid bedömningen av integritetsintresset.

text: 1. Hur bevakningen ska utföras

text: Med hur bevakningen ska utföras avses bland annat vid vilka tidpunkter bevakningen ska ske, om material ska spelas in och hur det i så fall kan komma att användas. Exempelvis kan kamerabevakning som sker under sen kväll och nattetid ofta innebära att färre personer omfattas av bevakningen. I allmänhet väger kamerabevakning som sker nattetid därmed lättare än bevakning under dagtid. Bevakning som enbart sker i realtid, utan bildinspelning, anses också generellt sett innebära att integritetsintresset väger lättare.

text: Kamerabevakning som sker med avlyssning eller upptagning av ljud innebär i regel särskilt påtagliga integritetsrisker eftersom enskilda normalt inte har anledning att förvänta sig att utomstående ska ta del av vad de säger, även om de befinner sig i en offentlig miljö. Eftersom sådan bevakning betraktas som särskilt integritetskänslig bör den vara föremål för en noggrann prövning i det enskilda fallet, och förutsätta att det finns tungt vägande skäl. Utgångspunkten är dock att kamerabevakning inte bör möjliggöra avlyssning eller inspelning av människors samtal. Integritetsintresset kan följaktligen normalt sett inte anses väga lättare på den grunden att bevakningen sker utan ljudupptagning.

text: 2. Om teknik som främjar skyddet av den enskildes personliga integritet ska användas

text: Som exempel på teknik som främjar skyddet av den enskildes personliga integritet kan nämnas teknik som innebär att känsliga områden maskeras eller att upptaget bild- och ljudmaterial krypteras. Även tekniska lösningar där kameror aktiveras först efter larm, såsom inbrottslarm, överfallslarm och larm som reagerar på onormala kroppsrörelser eller aktiveras genom detektion av ljud som t.ex. skottlossning, glaskross eller

text: människoskrik, kan vara integritetsfrämjande. Användning av sådan teknik kan många gånger ha stor betydelse för hur tungt intresset av att inte bli kamerabevakad väger.

text: 3. Vilket område som ska bevakas

text: Bedömningen av integritetsintresset är knuten till det geografiska område som ska bevakas. Av särskild betydelse är om bevakningen ska ske i ett område där många människor normalt rör sig, oavsett om bevakningen ska ske från ett fast eller rörligt objekt. HFD har betonat att kamerabevakning under dagtid av centralt belägna platser, där det rör sig ett stort antal personer, innebär ett betydande integritetsintrång, bland annat eftersom en stor mängd uppgifter om personer utan relevans för bevakningens ändamål då behandlas. Det är angeläget att enskilda kan röra sig fritt på centrala platser utan att bli bevakade. Eftersom integritetsintresset väger tyngre under tider då många människor vistas i ett område, är tidpunkten för bevakningen av stor betydelse vid bedömningen av integritetsintresset. Detta har i enlighet med praxis lett till att kamerabevakning i vissa fall endast är tillåten under nattetid och tidig morgon.

text: Även områdets karaktär är central. Integritetsintresset är särskilt tungt vägande i anslutning till bostäder och andra platser där det finns ett berättigat anspråk på privatliv, såsom trädgårdar och uteplatser. Det är också tungt vägande i områden där enskilda vistas för rekreation och avkoppling, såsom parker, bad- och idrottsplatser samt serveringar. Även skolgårdar, lekparker och andra områden där barn och unga vistas är känsliga ur integritetssynpunkt, då barn anses särskilt skyddsvärda i dataskyddslagstiftningen. Vid bedömningen är det av central betydelse att beakta det sammanhang i vilket enskilda befinner sig och om de objektivt sett kan förvänta sig att bli kamerabevakade. På offentliga platser kan tillfälliga aktiviteter medföra ett förstärkt integritetsintresse, såsom utplacerade valstugor, demonstrationer och manifestationer, marknader och andra evenemang som samlar många människor.

text: IMY har tagit fram guider avsedda att utgöra ett stöd vid intresseavvägningen vid kamerabevakning, bl.a. bedömningen av integritetsintresset på olika platser.

text: 3.1.5 Bedömningen av integritetsintresset vid UAS-bevakning

text: I förarbeten och praxis finns inget stöd för att UAS-bevakning i sig skulle innebära ett större eller mindre integritetsintrång än fast kamerabevakning. Vid bedömningen av integritetsintresset ska de tre faktorer som anges i 14 a § tredje stycket KBL särskilt beaktas. Beroende på hur UAS-bevakningen ska utföras kan enligt IMY:s mening flera omständigheter, inom eller utom ramen för dessa faktorer, ha betydelse i det enskilda fallet.

text: Vid UAS-bevakning är möjligheterna att använda integritetsfrämjande teknik, såsom maskering, i nuläget begränsade. Utförandet av bevakningen – med val av flyghöjd, kameravinkel, bevakningstid och användning av zoom – får därför särskilt stor betydelse. Integritetsintrånget förstärks normalt sett om UAS-bevakningen sker från låg höjd eller med användning av zoom, eftersom detta möjliggör mer detaljerad och

text: närgången registrering av enskilda personers beteende och rörelsemönster och ökar risken för behandling av uppgifter som går utöver vad som är nödvändigt för ändamålet.

text: Om bevakningen sker från en sådan höjd att identifiering av enskilda är omöjlig, faller bevakningen utanför KBL:s (och BDL:s) tillämpningsområde och någon bedömning av integritetsintresset aktualiseras inte. Om personbevakning endast sker under en mycket begränsad tid kan integritetsintrånget bedömas som mindre.

text: Omständigheter som talar för ett tyngre vägande integritetsintresse är att UASbevakning ofta upplevs som oförutsebar. Att en UAV plötsligt uppenbarar sig ovanifrån avviker från vad enskilda objektivt sett har anledning att förvänta sig. Att det finns skyltar eller annan upplysning om kamerabevakning brukar anses sakna betydelse vid bedömningen av enskildas objektivt förväntningar. Oavsett detta är det ofta svårt att på ett verksamt sätt upplysa om UAS-bevakning, vilket i kombination med att bevakningen inte är knuten till ett fast bevakningsområde, innebär att enskilda har begränsade möjligheter att undvika bevakningen om de skulle vilja det.

text: Det som kan tala för ett mindre integritetsintrång i jämförelse med fast bevakning är att UAS-bevakning i regel inte sker kontinuerligt på en och samma plats under längre tidsperioder, utan används situationsanpassat vid ett konkret behov. Detta minskar ofta mängden överskottsinformation. Samtidigt kan även förhållandevis kortvarig UASbevakning innebära behandling av ett mycket stort antal personuppgifter, särskilt vid bevakning av större allmänna platser, med en medföljande risk för behandling av en stor mängd uppgifter om personer som saknar relevans för bevakningens ändamål.

text: Enligt IMY:s uppfattning ska, i likhet med vad som gäller vid fast bevakning, samtliga omständigheter som har betydelse och konkret relevans för den aktuella bevakningen beaktas vid bedömningen av integritetsintresset. Övriga omständigheter ska inte omfattas av bedömningen. Bevakning som inte är nödvändig – och som därmed saknar rättslig grund – ska anses otillåten. Att sådan bevakning inte ska förekomma bör som regel inte betraktas som en omständighet som minskar integritetsintrånget.

text: 3.2 Personuppgiftsansvar

text: Den personuppgiftsansvarige är ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Polismyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid myndigheten. IMY konstaterar att Polismyndigheten därmed är personuppgiftsansvarig för den personuppgiftsbehandling som myndighetens UAS-bevakning innebär.

text: 3.3 Det finns en risk att Polismyndigheten kan komma att kamerabevaka med UAS i strid med 14 a § KBL

text: 3.3.1 De typer av områden som kan komma att bevakas har endast beaktats i begränsad utsträckning

text: IMY har i den aktuella tillsynen granskat Polismyndighetens bedömningar av integritetsintresset i beslut om UAS-bevakning som fattats med stöd av 14 a § KBL. Vid bedömningen av integritetsintresset ska särskilt beaktas vilket område som ska bevakas. Av särskild betydelse är därvid om det är ett område där många människor normalt rör sig och vilken karaktär som området har.

text: IMY konstaterar inledningsvis att när kamerabevakning sker från fasta objekt innebär detta normalt bevakning av ett mindre område. En bedömning av integritetsintresset kan vid sådan bevakning i regel utan svårigheter göras för varje del av det faktiska bevakningsområdet. När det gäller bevakning som sker med UAS kan däremot förutsättningarna för att göra en sådan bedömning många gånger se annorlunda ut. IMY konstaterar i det avseendet att det i det granskade urvalet av Polismyndighetens beslut förekommer bevakningsområden som är mycket stora och som omfattar en stor mängd olika platser av varierade karaktär. Detta medför praktiska svårigheter att bedöma varje specifikt område inom det övergripande bevakningsområdet. IMY anser dock att det vid bevakning av större områden med UAS istället kan vara tillräckligt att knyta bedömningen till de typer av områden som ingår i det aktuella bevakningsområdet. På så sätt kan integritetsbedömningen inför UAS-bevakning bli mer hanterbar i de fall det är fråga om större bevakningsområden, samtidigt som bedömningen får ett reellt integritetsskyddande genomslag genom att faktiska områdestyper identifieras, analyseras och beaktas i bedömningen av integritetsintresset och den efterföljande intresseavvägningen. I övriga fall bör integritetsintresset fortsatt bedömas med koppling till de specifika områden som finns inom det övergripande bevakningsområdet.

text: IMY konstaterar att Polismyndigheten i de beslut som granskats inom ramen för denna tillsyn i varierande utsträckning identifierat och bedömt integritetsintresset för olika typer av områden som förekommer i det övergripande bevakningsområdet. Många gånger görs detta dock enligt IMY:s bedömning endast i begränsad utsträckning. IMY exemplifierar detta med två beslut daterade den 15 februari 2023 respektive den 25 maj 2023 (A560.908/2022) , vilka avser samma bevakningsområde i centrala Stockholm: Fridhemsplan, Hornsberg, Humlegården, Karlaplan, Klaraområdet, Kristineberg, Kungsträdgården, Larsberg, Observatorielunden, Odenplan, Stadshagen, Södra Gärdet och Värtavägen.

text: IMY konstaterar att bevakningsområdet, utöver stadsmiljöer såsom gator och torg med blandad användning för boende, handel och kontor, även omfattar grönområden samt idrotts- och fritidsanläggningar. Vidare ingår kollektivtrafikmiljöer, kommersiella områden med handel, restauranger och service, liksom myndighets- och samhällsservicefunktioner såsom vårdinrättningar, skolor, bibliotek och andra offentliga verksamheter. Därtill omfattas kulturella miljöer och turistmål med hög besöksfrekvens. Sammantaget rör det sig om ett flera kvadratkilometer stort bevakningsområde som inrymmer komplexa stadsmiljöer, vilka nyttjas av enskilda i varierande grad beroende på tidpunkt och som är olika känsliga ur integritetssynpunkt.

text: Av Polismyndighetens ovan nämnda beslut framgår under rubriken ”Integritetsintressen” inledningsvis följande:

text: ”Bevakningsområdena och tidpunkten för upptagningen kommer innebära att många människor träffas av bevakningen. De kamerabevakade områdena är tillgängliga för allmänheten med hög genomströmning av människor. Det är i huvudsak samma personer som bevakas som riskerar att utsättas för brott i områdena. Bevakningsområdena innefattar bl.a. platser såsom bostäder, arbetsplatser, restauranger, lokala centrum, parker och skolor. Integritetsintresset är därmed stort.”

text: Avsnittet avslutas med att Polismyndigheten bedömer ”att integritetsintresset inom bevakningsområdena väger mycket tungt”.

text: IMY konstaterar att Polismyndigheten i de aktuella besluten identifierat och i bedömningen av integritetsintresset beaktat ett antal typer av områden som förekommer inom det övergripande bevakningsområdet. Inom bevakningsområdet finns dock även andra typer av områden där särskild hänsyn till integritetsintresset kan behöva tas, till exempel vårdinrättningar och idrotts- och fritidsanläggningar. I besluten görs inte heller någon närmare analys av integritetsintresset för de olika områdena som redovisas. IMY konstaterar i denna del att integritetsintresset på de olika typerna av platser kan variera, t.ex. utifrån platsernas karaktär och under vilken tid på dygnet bevakningen sker. I bedömningen behandlas således det mycket stora området som en sammanhållen enhet, med begränsad differentiering mellan olika typer av områden som finns inom det övergripande bevakningsområdet och som har skilda förutsättningar ur integritetssynpunkt.

text: Såvitt framgår av besluten har de olika typer av områden som förekommer inom det övergripande bevakningsområdet enligt IMY:s uppfattning endast i begränsad utsträckning identifierats och analyserats vid bedömningen av integritetsintresset. Detta medför enligt IMY en risk för att integritetsintresset avseende delar av det övergripande bevakningsområdet där intresset kan väga särskilt tungt, inte klarläggs och beaktas vid den efterföljande intresseavvägningen, vilket även kan påverka bedömningen av eventuella villkor eller begränsningar av bevakningen.

text: Sammanfattningsvis anser IMY att det framgår av de granskade besluten att Polismyndigheten vid genomförande av bedömningar av integritetsintresset endast i begränsad utsträckning har identifierat, analyserat och beaktat de typer av områden som finns inom det aktuella bevakningsområdet, vilket riskerar att leda till felaktiga eller ofullständiga intresseavvägningar.

text: 3.3.2 Besluten är otydligt utformade vad avser bevakning av särskilt integritetskänsliga platser

text: Av 14 b § tredje stycket KBL följer att Polismyndigheten är skyldig att dokumentera intresseavvägningen som ska göras enligt 14 a § KBL. I förarbetena framhålls att dokumentationen ska vara tydlig och bör avse bedömningen i dess helhet. Dokumentationskravet innebär att myndigheten tvingas att formulera och sammanställa sina överväganden, vilket i sig minskar risken för ogenomtänkt eller omotiverad bevakning.

text: Vid UAS-bevakning bör beslutsdokumentationen enligt IMY:s mening utformas på ett sådant sätt att den ger tydlig vägledning till de UAS-operatörer som ska utföra bevakningen, så att de enkelt kan identifiera vilka villkor som gäller i det enskilda fallet och genomföra bevakningen i enlighet med ändamålet och med hänsyn till skyddet för den personliga integriteten. Detta särskilt mot bakgrund av att det vid UAS-bevakning finns begränsade möjligheter att använda maskering och att integritetsintrånget vid UAS-bevakning därför påverkas i stor utsträckning av hur bevakningen utförs med avseende på till exempel flyghöjd och användning av zoom. Tydligt utformad dokumentation är enligt IMY:s mening av särskild vikt i fråga om vilka områden eller typer av områden inom det övergripande bevakningsområdet som bedömts vara särskilt integritetskänsliga och som, i dess helhet eller i vissa delar, som utgångspunkt därför inte får bevakas eller endast får bevakas under vissa villkor (till exempel under vissa tider, på viss höjd eller utan zoom).

text: IMY noterar att Polismyndigheten i dokumentet PM – Maskeringar i kameraplattformen gjort övergripande bedömningar avseende maskering av vissa integritetskänsliga områden. Dessa bedömningar gäller, enligt dokumentet Instruktion – Lathund intresseavvägningsbeslut, även vid bevakning av UAS. Integritetskänsliga platser som ska maskeras vid fast bevakning får alltså inte heller bevakas med UAS. I bedömningarna i promemorian nämns ett antal platser under rubriken ”Högt integritetsskydd”, vilka som utgångspunkt inte får bevakas. Undantag kan i vissa fall göras i det enskilda beslutet om kamerabevakning. Under rubriken ”Övriga utrymmen med högre integritetsskydd” redovisas ett antal platser som inte ska bevakas, såvida det inte med en tydlig motivering framgår av beslutet att de ska bevakas. I promemorian anges vidare att de platser som redovisas i dokumentet inte ska ses som en uttömmande lista.

text: IMY konstaterar att den UAS-operatör som ska utföra bevakningen kan få vägledning av nämnda dokument avseende vilka platser inom det aktuella bevakningsområdet som inte får bevakas. För att säkerställa att det är tydligt för operatören vilka integritetskänsliga områden eller typer av områden som i det enskilda fallet finns inom det faktiska bevakningsområdet och som – i dess helhet eller i vissa delar – som utgångspunkt inte får bevakas eller endast får bevakas under vissa villkor, anser IMY dock att det tydligt bör framgå av beslutsdokumentationen vilka dessa områden är.

text: IMY anser att det i ett flertal av de granskade besluten inte framgår tydligt vilka specifika områden eller typer av områden inom det övergripande bevakningsområdet som bedömts vara särskilt integritetskänsliga och som bevakning som utgångspunkt bedömts inte vara tillåten inom eller endast vara tillåten under vissa villkor. I dessa beslut finns inte heller en tydlig hänvisning till styr- eller stöddokument där detta framgår. Ett exempel på en formulering som återfinns i flera av Polismyndighetens beslut framgår under rubriken ”Integritetshöjande åtgärder”. Där anges att UAS-

text: operatören inte får filma in i ”bostäder, arbetsplatser eller andra integritetskänsliga utrymmen”. Vad som avses med ”andra integritetskänsliga utrymmen” och i vilken utsträckning sådana förekommer inom det aktuella bevakningsområdet framgår inte närmare av besluten. Enligt IMY innebär detta en otydlighet i fråga om vilka områden inom det övergripande bevakningsområdet som bedömts vara av sådan integritetskänslig karaktär att bevakning av dessa områden eller delar av områdena som utgångspunkt inte får ske eller endast får ske under vissa villkor.

text: Sammanfattningsvis anser IMY att det utifrån det granskade underlaget framgår att det finns otydligheter avseende vilka områden eller typer av områden inom det övergripande bevakningsområdet som – i sin helhet eller till vissa delar – bedömts som utgångspunkt inte vara tillåtna att bevaka eller som endast får bevakas under vissa villkor.

text: 3.3.3 Slutsats

text: IMY har ovan bedömt att Polismyndigheten vid genomförande av bedömningar av integritetsintresset endast i begränsad utsträckning identifierat, analyserat och beaktat de typer av områden som finns inom det aktuella bevakningsområdet samt att detta kan leda till felaktiga eller ofullständiga intresseavvägningar. IMY har vidare bedömt att det i besluten finns otydligheter avseende vilka områden eller typer av områden inom det övergripande bevakningsområdet som helt eller delvis bedömts som utgångspunkt inte vara tillåtna att bevaka eller som endast får bevakas under vissa villkor. Dessa otydligheter medför en risk för att UAS-operatörer bevakar platser som inte bedömts vara tillåtna att bevaka. Enligt IMY:s bedömning innebär dessa omständigheter att det finns en risk för att Polismyndigheten kan komma att bedriva kamerabevakning med UAS på platser inom bevakningsområdet där bevakningsintresset inte väger tyngre än integritetsintresset, dvs. i strid med 14 a § KBL.

text: 4. Val av ingripande

text: Av 5 kap. 7 § BDL framgår att om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter, får tillsynsmyndigheten vidta korrigerande befogenheter så som förelägganden, förbud mot behandling samt utfärdande av sanktionsavgift. För användning av de korrigerande befogenheterna ska IMY ha konstaterat att personuppgifter inte behandlas författningsenligt eller att den personuppgiftsansvariga på annat sätt brister i sina skyldigheter. IMY har inom ramen för det som granskats i tillsynen inte konstaterat att Polismyndigheten behandlat personuppgifter i strid med författning eller brustit i sina skyldigheter i den mening som avses i 5 kap. 7 § BDL. Några skäl för att besluta om ingripande med stöd av 5 kap. 7 § BDL föreligger därmed inte.

text: Om det finns en risk för att viss personuppgiftsbehandling kan komma att stå i strid med lag eller annan författning ska IMY dock genom de förebyggande befogenheterna som följer av 5 kap. 6 § BDL försöka förmå den personuppgiftsansvarige att vidta åtgärder för att motverka den risken. Det kan ske genom råd, rekommendationer eller påpekanden. Om det inte bedöms tillräckligt har IMY även möjlighet att utfärda en varning.

text: IMY har ovan kommit fram till att det föreligger en risk för att Polismyndigheten kan komma att bedriva kamerabevakning med UAS i strid med 14 a § KBL. Risken är dock inte av sådan karaktär att det enligt IMY är motiverat att tilldela en varning. IMY finner

text: däremot skäl att, med stöd av 5 kap. 6 § första stycket BDL, råda Polismyndigheten att vidta vissa åtgärder för att motverka risken.

text: IMY lämnar, med hänvisning till ovanstående, följande råd.

text: Detta beslut har fattats av enhetschefen Jenny Bård efter föredragning av juristerna Karolina Haeggström och My Lorenius. Vid den slutliga handläggningen har även avdelningsjuristen Andreas Persson medverkat.

text: Jenny Bård

text: Kopia till

text: Dataskyddsombud

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.