HFD 2026 ref. 37

Skälen för avgörandet

Frågan i Högsta förvaltningsdomstolen

11Frågan är vilken av artiklarna 13 och 14 i EU:s dataskydds­förordning som reglerar skyldigheten att lämna information till den registrerade när personuppgifter hämtas in via en kroppsburen kamera.

Rättslig reglering m.m.

12Enligt artikel 13.1 i EU:s dataskyddsförordning ska den person­uppgiftsansvarige, om personuppgifter som rör en registrerad person samlas in från den registrerade, lämna viss information till den registrerade när personuppgifterna erhålls.

13I artikel 14.1 anges att om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med viss information.

Förhandsavgörande från EU-domstolen

14Högsta förvaltningsdomstolen har i begäran om förhands­avgörande från EU-domstolen frågat vilken av artiklarna 13 och 14 i EU:s dataskyddsförordning som är tillämplig när personuppgifter hämtas in via en kroppsburen kamera. EU-domstolen besvarade frågan genom dom i mål C-422/24 (EU:C:2025:980).

15EU-domstolen konstaterade att begreppet personuppgifter som ”samlas in” från den registrerade, i den mening som avses i artikel 13.1, inte förutsätter att den registrerade vidtar någon specifik åtgärd, utan endast att den personuppgiftsansvarige vidtar en sådan åtgärd. Hur aktiv den registrerade är saknar således betydelse för avgränsningen av denna bestämmelses tillämpnings­område i förhållande till tillämpningsområdet för artikel 14. En bokstavstolkning av artiklarna 13 och 14 talade enligt domstolen för att det är artikel 13 som är tillämplig på insamlandet av person­uppgifter via en kroppsburen kamera, eftersom uppgifterna då erhålls direkt från den registrerade och inte från någon annan källa (punkterna 33 och 36).

16En sådan tolkning vann enligt domstolen även stöd i det sammanhang som bestämmelserna ingår i samt i de mål som efter­strävas med förordningen (punkterna 37, 40 och 41). När det gäller rättsfallet Ryneš angav domstolen att den i det fallet inte hade uttalat sig om tillämpningsområdet för de tidigare motsvarigheterna till artiklarna 13 och 14 i förordningen, utan endast hade åskådliggjort att det vid tillämpningen av bestämmelserna om dataskydd är möjligt att beakta den personuppgiftsansvariges berättigade intressen (punkt 43).

17EU-domstolen besvarade därefter frågan med att artiklarna 13 och 14 i EU:s dataskyddsförordning ska tolkas på följande sätt.

18I en situation där personuppgifter hämtas in via kroppsburna kameror som biljettkontrollanter i kollektivtrafiken är utrustade med, så är det artikel 13 och inte artikel 14 som reglerar tillhanda­hållandet av information till de registrerade.

Högsta förvaltningsdomstolens bedömning

19Genom EU-domstolens avgörande är det klarlagt att det är artikel 13 i EU:s dataskyddsförordning som är tillämplig i den situation som är aktuell i målet. Det var därmed fel av kammarrätten att undanröja förvaltningsrättens dom och Integritetsskydds­myndighetens beslut i den del som avser sanktionsavgift för bristande information till de registrerade på den grunden att myndigheten hade tillämpat fel artikel avseende informations­skyldigheten.

20Kammarrättens dom i den del som avser sanktionsavgift på grund av bristande information till de registrerade ska därför upphävas och målet visas åter till kammarrätten för ny prövning av den frågan.

Högsta förvaltningsdomstolens avgörande

Högsta förvaltningsdomstolen upphäver kammarrättens dom i den del som avser sanktionsavgift på grund av bristande information till de registrerade och visar målet åter till kammarrätten för ny prövning av den frågan.

I avgörandet deltog justitieråden Haggren, Knutsson, Ståhl, Gäverth och Nilsson. Föredragande var justitiesekreteraren Hedvig Areskoug.

Förvaltningsrätten i Stockholm (2022-02-18, ordförande Önell):

Bakgrund och frågan i målet

Frågan i målet är om SL ska påföras en administrativ sanktionsavgift enligt dataskyddsförordningen med anledning av bolagets användning av kroppsburna kameror. Det är klart att användningen av kamerorna innebär en personuppgiftsbehandling och att SL är personuppgiftsansvarig.

SL avsåg först att använda de kroppsburna kamerorna på 4–10 biljettkontrollanter i tunnelbanan under en testperiod med start från december 2018. Testperioden förlängdes och infördes senare permanent. De kroppsburna kamerorna används sedan de blev permanenta av cirka 55 biljettkontrollanter vardagar och 20 biljettkontrollanter helgdagar inom hela trafiknätet. Tekniken fungerar på så sätt att kamera och mikrofon kontinuerligt spelar in med bild och ljud. Kamerorna har ett cirkulärt minne som gör att allt videomaterial som är äldre än en minut automatiskt rensas om inte biljettkontrollanten aktiverar en inspelning. Då lagras material från en minut bakåt från att inspelningen aktiverades (s.k. automatisk förinspelning). Biljettkontrollanten har instruerats att aktivera inspelning när den ska ställa ut en tilläggsavgift eller när hotfulla eller våldsamma situationer uppstår. Material från kameran laddas efter arbetspasset upp till en server där det granskas av ett fåtal bevisadmini­stratörer.

SL har som berättigade ändamål för att behandla personuppgifter med kroppsburna kameror fört fram att det behövs för att förebygga och dokumentera hot och våld samt säkerställa identiteten på den som ska tillställas en tilläggsavgift, vilket bolaget anser är lagligt enligt artikel 6.1 f dataskyddsförordningen.

[text här utelämnad]

Information till registrerade

Rättsliga utgångspunkter

Den som behandlar personuppgifter har enligt artikel 12 dataskydds­förordningen en skyldighet att ge den vars personuppgifter behandlas viss information, som anges i artikel 13, på ett klart och tydligt sätt. Informa­tionen får tillhandahållas kombinerad med standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över den planerade behandlingen.

European Data Protection Board har i sina riktlinjer 3/2019 (se ovan) gett vägledning om hur registrerade bör informeras om videoövervakning. I riktlinjerna skrivs bl.a. att en stegvis eller kombination av metoder kan användas mot bakgrund av den mängd information som ska ges. För videoövervakning bör då den viktigaste informationen visas på själva varningsskylten (första nivån), medan ytterligare obligatoriska uppgifter kan ges på andra sätt (andra nivån), t.ex. ett komplett informationsblad eller en digital källa som hänvisas till genom varningsskylten. Informationen på första nivån får ges tillsammans med standardiserade symboler. Informationen bör placeras så att den registrerade förstår vilket område som övervakas innan han eller hon går in i det, så att de kan anpassa sitt beteende, och i allmänhet borde den viktigaste informationen om t.ex. syftet med behandlingen, vem som behandlar personuppgifter, den registrerades rättigheter och information om behandlingens främsta inverkan ges redan på den första nivån av information.

Förvaltningsrätten instämmer i Integritetsskyddsmyndighetens bedöm­ning att SL inte tillhandahållit tillräckligt med information enligt dataskyddsförordningen

Av underlaget i målet framgår att SL ger information i ett första lager genom en blankett till den som får en tilläggsavgift. Under tillsynsärendet infördes ett emblem på biljettkontrollanters uniformer med ett piktogram av en kamera och skriftlig information: ”Kroppskamera/Body camera”. Biljettkontrollanter ska också informera muntligen när de påbörjar en inspelning. Kompletterande information finns på SL:s hemsida. Inled­ningsvis hade hemsidan inte information om att även ljud togs upp vid inspelning.

Som framgår ovan ska de registrerade informeras om att och hur deras personuppgifter kan komma att behandlas innan det sker, så att de kan anpassa sitt beteende därefter. Förvaltningsrätten instämmer i Integritetsskyddsmyndighetens bedömning att den information SL tillhandahållit har flera brister. Emblemet på biljettkontrollanternas uniformer ger inte information om ljudupptagning och det kan inte antas att samtliga resenärer i närheten av den som ska tillställas en avgift, eller initierar en hotfull eller våldsam situation, får del av informationen. I vart fall inte innan behandlingen av personuppgifter påbörjas. Det som SL fört fram om konkurrerande informationskrav medför ingen annan bedömning. Det skulle t.ex. vara möjligt att använda varningsskyltar vid ingångar till kollektivtrafiken där kroppskameror används.

Förvaltningsrätten gör alltså i denna del samma bedömning som Integritetsskyddsmyndigheten, d.v.s. att SL överträtt artikel 13 och 5.1 a dataskyddsförordningen och konstaterar att det inte rör sig om en mindre överträdelse. Det finns därför förutsättningar att påföra SL en sanktionsavgift med anledning av överträdelsen (jfr. artikel 58 och skäl 148 dataskyddsförordningen samt 6 kap. 1–2 §§ lag [2018:218] med kompletterande bestämmelser till EU:s dataskyddsförordning).

[text här utelämnad]

Sammanfattande slutsatser

Integritetsskyddsmyndigheten har i det överklagade beslutet påfört SL en administrativ sanktionsavgift om 16 miljoner kr, varav 4 000 000 kr avser SL:s användning av kroppsburna kameror för att förebygga och dokumentera hot och våld, genom användning av förinspelningsteknik under en minut, 8 000 000 kr avser SL:s användning av kroppsburna kameror för att säkerställa identiteten på resenärer som ska betala tilläggsavgift, och 4 000 000 kr avser SL:s bristande information till de registrerade.

Förvaltningsrätten har kommit fram till att Integritetsskydds­myndigheten haft fog för att besluta om och beräkna sanktionsavgiften till 8 000 00 kr respektive 4 000 000 kr avseende användningen av kroppsburna kameror för att säkerställa identiteten på resenärer samt den bristande informationen. Överklagandet ska alltså avslås i dessa delar.

Förvaltningsrättens anser däremot att SL:s användning av kroppsburna kameror för att förebygga och dokumentera hot och våld, genom användning av förinspelningsteknik under en minut, varit förenlig med dataskyddsförordningen. Det saknas därför skäl att påföra sanktions­avgiften på 4 000 000 kr avseende den användningen. Överklagandet ska därför bifallas delvis på så sätt att den administrativa sanktionsavgiften sätts ned till 12 miljoner kr.

– Förvaltningsrätten bifaller överklagandet delvis på så sätt att den påförda administrativa sanktionsavgiften sätts ned till 12 miljoner kr. Överklagandet avslås i övrigt.

Kammarrätten i Stockholm (2023-01-26, Liljeqvist, Eriksson och Johansson):

[text här utelämnad]

Information till registrerade

Enligt Integritetsskyddsmyndigheten och förvaltningsrätten har SL brustit i sin skyldighet att i enlighet med artikel 13 i dataskyddsförordningen delge de registrerade information som ska tillhandahållas om personuppgifterna samlas in från den registrerade. Genom bristerna i den information som tillhandahållits av SL har även principen om öppenhet i artikel 5.1 i förordningen överträtts.

Den registrerades rätt till information regleras i artiklarna 12–15 i dataskyddsförordningen. Av artikel 13 framgår att om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, lämna viss information till den registrerade. I artikel 14 anges vilken information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. Informationsskyldighetens omfattning och möjligheterna till undantag från denna skyldighet skiljer sig åt mellan bestämmelserna. Det finns inte någon definition i dataskyddsförordningen av begreppen samlas in från respektive erhållits från den registrerade.

Artikel 29-gruppen, numera Europeiska dataskyddsstyrelsen, har i sina riktlinjer om öppenhet enligt dataskyddsförordningen antagna den 29 november 2017, angett att personuppgifter som ska räknas som inhämtade från de registrerade inkluderar uppgifter som inhämtas genom observation med hjälp av t.ex. kameror (p. 26) och att artikel 13 därmed är tillämplig.

Den första frågan kammarrätten måste ta ställning är om inhämtning av personuppgifter med hjälp av kroppsburen kamera är att betrakta som att uppgifterna samlats in från den registrerade.

Den svenska kamerabevakningslagen (2018:1200) specificerar inte i vare sig lagtext eller förarbeten vilken artikel lagen stöder sig på avseende informationskravet vid kamerabevakning. Inte heller ger skälen i dataskyddsförordningen stöd för att artikel 13 ska vara tillämplig vid sådan behandling som är aktuell i målet.

Kammarrätten noterar att EU-domstolen i en dom den 11 december 2014 avseende kamerabevakning utförd av en privatperson (C-212/13, EU:C:2014:2428) som tillämplig rätt angav bl.a. den bestämmelse som numera återfinns i artikel 14 i dataskyddsförordningen. Målet avsåg en kamera som var fast monterad och som filmade bl.a. en allmän väg.

Ordalydelsen i artikel 13 – samlas in från den registrerade – tyder enligt kammarrätten på att det krävs någon typ av medvetet handlande från den registrerade för att personuppgifterna ska anses ha samlats in från denne. Detta kan inte anses vara fallet när personuppgifter inhämtas med hjälp av de aktuella kroppsburna kamerorna. Kammarrätten anser därför att be­stämmelsens ordalydelse, sammantaget med EU-domstolens avgörande, talar för att artikel 13 inte är tillämplig. Vad som anges i Artikel 29-gruppens riktlinjer har mot den bakgrunden ingen avgörande betydelse. Integritetsskyddsmyndigheten har därmed inte haft grund för att påföra en sanktionsavgift i denna del utifrån att SL brustit i sin informations­skyldighet enligt artikel 13.

[text här utelämnad]

Sammanfattande bedömning

Integritetsskyddsmyndigheten har inte förmått visa att SL:s användning av kroppsburna kameror med förinspelningsteknik för att förebygga och dokumentera hot och våld inneburit en överträdelse av dataskydds­förordningen. Integritetsskyddsmyndigheten har däremot visat att SL:s användning av kroppsburna kameror med förinspelningsteknik för att säkerställa identiteten på resenärer som ska betala tilläggsavgift inneburit en överträdelse av dataskyddsförordningen. En sanktionsavgift om 8 miljoner kr ska påföras SL för denna överträdelse. Avseende den informationsskyldighet som Integritetsskyddsmyndigheten ansett att SL brustit i bedömer kammarrätten att artikel 13 i dataskyddsförordningen inte är tillämplig i nu aktuellt fall. Underinstansernas avgöranden i denna del ska därmed undanröjas.

– Kammarrätten undanröjer förvaltningsrättens dom och Integritets­skyddsmyndighetens beslut i den del som avser sanktionsavgift för bristande information till de registrerade och bestämmer sanktionsavgiften till 8 miljoner kr. I övrigt avslås överklagandena.