Høringssvar vedr. lovforslag om ændring af retsplejeloven (politiets overtagelse af TV-overvågning)
IT-Politisk Forening anerkender, at det i helt ekstraordinære situationer kan være hensigtsmæssigt at give politiet en kortvarig adgang til andre dataansvarliges systemer til TV-overvågning i et bestemt område, som er mere direkte end muligheden for at få optagelser udleveret via en editionskendelse. Den foreslåede § 791 e i retsplejeloven er imidlertid ikke tilstrækkeligt afgrænset til en kortvarig overtagelse i sådanne helt ekstraordinære situationer.
Udover en mere præcis afgrænsning af beføjelsen til at foretage indgrebet, bør lovforslaget ændres, så der sker en orientering af borgerne om indgrebet, for eksempel via offentliggørelse på politiets hjemmeside. I modsat fald vil der være tale om en hemmelig politimæssig overvågning af borgernes færden i det offentlige rum, hvor borgerne ikke har nogen mulighed for at vurdere omfanget af dette indgreb.
Disse synspunkter uddybes i det følgende.
Lovforslaget gør den eksisterende TV-overvågning mere indgribende
TV-overvågning af det offentlige rum er i sig selv et betydeligt indgreb i borgernes ret til privatliv, og dette indgreb kan have konsekvenser for andre grundlæggende rettigheder, specielt bevægelsesfriheden og forsamlingsfriheden, hvis borgerne lægger begrænsninger på deres egen færden i det offentlige rum for at undgå TV-overvågning, som borgerne finder utrygsskabende. Det må den forbindelse konstateres, at der er et meget stort antal TV-overvågningskameraer i det offentlige rum i Danmark, herunder antageligt en del kameraer, som overvåger områder med almindelig færdsel i strid med lov om TV-overvågning (trods de løbende lempelser af denne lov).
Der er endvidere stor forskel på, om dette indgreb forestås af mange forskellige private dataansvarlige, som primært bruger TV-overvågning til passiv lagring af optagelserne, og hvor optagelserne i praksis kun gennemses hvis en konkret hændelse giver anledning til det, eller om en enkelt dataansvarlig (eksempelvis politiet) foretager en mere aktiv TV-overvågning af et meget stort område, for eksempel en hel bydel. Det sidste giver mulighed for at foretage en dediceret kortlægning af borgernes færden i det offentlige rum, hvilket er et langt mere omfattende indgreb end eksempelvis et pengeinstituts typisk kortvarige TV-overvågning af en borger, som har et ærinde i pengeinstituttets lokaler.
Muligheden for at politiet kan overtage TV-overvågning fra private virksomheder eller offentlige myndigheder er derfor et særligt alvorligt indgreb i den grundlæggende ret til privatliv og databeskyttelse, borgernes bevægelsesfrihed og forsamlingsfriheden. Det forhold at lovforslaget tillader, at politiet kan overtage TV-overvågning i et større område uden at borgerne bliver oplyst herom, er egnet til at skabe en følelse hos de berørte personer af, at deres privatliv er genstand for konstant overvågning.
Efter databeskyttelsesforordningens artikel 35, stk. 3, litra c har en dataansvarlig, som foretager ”systematisk overvågning af et offentligt tilgængeligt område” (som omfatter TV-overvågning jf. præambelbetragtning nr. 91) typisk en pligt til at udarbejde konsekvensanalyser. I konsekvensanalysen skal den dataansvarlige blandt andet foretage en vurdering af risikoen for rettigheder og frihedsrettigheder for den registrerede, og den dataansvarlige skal vurdere hvordan disse risici kan begrænses.
Det forhold at politiet i hemmelighed kan overtage TV-overvågningen fra en række dataansvarlige i et stort geografisk område og på den måde skabe et samlet overblik over borgernes bevægelser skaber i sig selv nye risici for de registreredes rettigheder og frihedsrettigheder. Disse risici må nødvendigvis indgå i den konsekvensanalyse, som dataansvarlige kan være forpligtet til at udarbejde i forbindelse med TV-overvågning. IT-Politisk Forening skal i den forbindelse bemærke, at den dataansvarlige reelt kun kan begrænse disse nye risici relateret til politiets overtagelse ved at indskrænke omfanget af TV-overvågning. En logisk konksekvens af lovforslaget bør derfor være mindre TV-overvågning i det offentlige rum.
Behov for mere præcis afgrænsning af formålet med indgrebet
Det synes at være hensigten med lovforslaget, jf. de indledende bemærkninger i pkt. 1, at beføjelsen til at overtage TV-overvågning fra private eller offentlige myndigheder skal begrænses til ekstraordinære situationer. Det er imidlertid ikke afspejlet i den foreslåede bestemmelse i retsplejeloven.
Efter den foreslåede § 791 e, stk. 1 skal der være tale om en lovovertrædelse, som kan straffes med 6 år eller mere, eller en forsætlig overtrædelse af straffelovens kapitel 12 og 13. Derudover er der et krav om at lovovertrædelsen kan ”medføre fare for menneskers liv eller velfærd eller for betydelige samfundsværdier”.
Det sidste krav indgår også i bestemmelsen om udvidet teleoplysning (jf. retsplejelovens § 781, stk. 5). Efter retspraksis fra landsretten har kravet om ”fare for menneskers liv eller velfærd eller for betydelige samfundsværdier” ikke været til hinder for brug af udvidet teleoplysning for at finde en mulig gerningsmand til et almindeligt væbnet røveri med pistol eller pistolattrap i en kiosk, hvor ingen kom til skade og hvor udbyttet formentlig var beskedent, jf. TFK 2010.236 (Tidsskrift for Kriminalret).
Da temmelig mange lovovertrædelser med Folketingets løbende skærpelser af straffeloven har en strafferamme på mindst 6 år, er der i praksis mulighed for en meget bred anvendelse af beføjelsen til at overtage TV-overvågning. Det fremgår af de specielle bemærkninger til lovforslagets § 1 (side 33), at beføjelsen kan anvendes i en lang række situationer. Nogle af disse, for eksempel bandeskyderier, kan endvidere indebære relativt langvarige efterforskninger, og dermed kan politiet komme til at overvåge et større område (eksempelvis store dele af Nørrebro) i en lang periode.
I forhold til lovforslag L 171 i folketingsåret 2018-19 er formålet med at overtage TV-overvågning udvidet fra forebyggelse af grov kriminalitet og terror til også at omfatte efterforskning af disse lovovertrædelser. Ifølge lovforslagets bemærkninger (side 22) kan den systematiske overvågning af borgernes færden, som overtagelse af TV-overvågning fra en række dataansvarlige i et geografisk område giver mulighed for, sågar bruges til at identificere mulige vidner til en allerede begået lovovertrædelse. Det er meget betænkeligt, at en så indgribende overvågning kan rettes mod borgere, som ikke på nogen måde er mistænkte for en lovovertrædelse. Der vil så godt som altid være mindre indgribende metoder end videoovervågning til at identificere mulige vidner, eksempelvis efterlysning via massemedier.
Selv om det er lovforslagets udgangspunkt, at en kendelse om overtagelse af TV-overvågning skal gælde i højst 48 timer, er dette ikke en absolut krav, og tidsbegrænsningen fremgår alene af bemærkningerne, ikke af selve paragraffen (den foreslåede § 791 e i retsplejeloven). Der er heller ikke nogen begrænsninger på mulighederne for at forlænge en kendelse om overtagelse af TV-overvågning.
IT-Politisk Forening vil anbefale, at der fastsættes en mere præcis begrænsning af muligheden for at overtage TV-overvågning fra private eller offentlige myndigheder, så der reelt er tale om helt ekstraordinære situationer. Det kunne for eksempel være et krav om at der er en umiddelbart og konkret fare for menneskers liv eller velfærd, eksempelvis i forbindelse med eftersøgning af en gerningsperson fra et terrorangreb eller forebyggelse af en konkret terrortrussel. Der bør ikke være mulighed for brug af indgrebet i mere ukonkrete situationer som bandeskyderier i et område. Samtidig bør der være en absolut (og kort) tidsmæssig grænse for indgrebets varighed, inklusive forlængelser, i forbindelse med den konkrete efterforskning eller den konkrete trussel mod den offentlige sikkerhed (ved forebyggende foranstaltninger).
Det er endvidere vigtigt, at Folketingets partier, forskere, civilsamfundsorganisationer og andre relevante parter har mulighed for at monitorere omfanget af indgrebet (overtagelse af TV-overvågning). Det bør ske ved en kombination af underretning af borgerne via offentliggørelse om indgrebene på politiets hjemmeside, jf. bemærkningerne i høringssvaret nedenfor, og offentliggørelse af en årlig statistik om antal indgreb og deres omfang (som Rigsadvokatens statistik over indgreb i meddelelseshemmeligheden og ransagninger).
Uklar afgrænsning af TV-overvågning omfattet af indgrebet
Ordlyden i selve lovteksten til den foreslåede § 791 e i retsplejeloven er TV-overvågning, som udføres af private eller offentlige myndigheder.
Af de specielle bemærkninger (side 31) fremgår det først, at bestemmelsen gælder uanset om TV-overvågningen er omfattet af TV-overvågningsloven. Det forudsættes dog, at politiet ikke overtager TV-overvågning i private hjem.
Derefter fremgår det af bemærkningerne, at adgangen til at overtage TV-overvågning gælder for de private virksomheder og offentlige myndigheder, som omfattes af TV-overvågningslovens krav om at registrere sig i POLCAM registeret. Adgangen er imidlertid ikke begrænset til de kameraer, som er omfattet af registreringspligten, og det nævnes konkret at politiet vil kunne overtage TV-overvågning placeret i en baglokale i en butik.
Denne formulering efterlader efter IT-Politisk Foreningens opfattelse af vis tvivl om, hvilke TV-overvågningskameraer der vil kunne overtages efter retsplejelovens § 791 e.
Ifølge lovudkastet om ændring af TV-overvågningsloven gælder registreringspligten i POLCAM alene for virksomheder og offentlige myndigheder, der fortager TV-overvågning af gade, vej, plads eller lignende område, som benyttes til almindelig færdsel. Som IT-Politisk Forening læser bemærkningerne, vil muligheden for at overtage TV-overvågningskameraer rettet mod områder, der ikke benyttes til almindelig færdsel, eksempelvis et baglokale i en butik (eller i selve butikken), være afhængig af, om virksomheden har andre TV-overvågningskameraer der er rettet mod områder med almindelig færdsel.
For at skabe klarhed og forudsigelighed for de berørte virksomheder, offentlige myndigheder og ikke mindst de fysiske personer som bliver genstand for politiets overvågning, vil IT-Politisk Forening anbefale, at muligheden for at overtage TV-overvågning afgrænses til TV-overvågningskameraer, som er rettet mod områder med almindelig færdsel. Det vil samtidig mindske risikoen for, at medarbejdere i eksempelvis en butik eller en kontorbygning, eller studerende på en uddannelsesinstitution, udsættes for kontinuerlig overvågning af politiet.
Dataansvarlig for TV-overvågningen efter overtagelse
Ifølge lovforslagets bemærkninger indebærer politiets overtagelse af TV-overvågning, at politiet bliver dataansvarlig for de personoplysninger som behandles i forbindelse med TV-overvågningen. Den oprindelige dataansvarlige, eller dennes databehandler, er forpligtet til at bistå politiet med overtagelsen og kan i den forbindelse pålægges tavshedspligt efter retsplejelovens § 189. Det er også muligt for politiet at overtage TV-overvågningen i fuldstændig hemmelighed uden bistand fra den oprindelige operatør (overtagelse ved magt efter § 791 e, stk. 7).
Politiet får ved overtagelsen den fuldstændige råderet over TV-overvågningskameraerne og de fremtidige optagelser fra disse kameraer. Hvis der ved ophør af politiets overtagelse er optagelser lagret på TV-overvågningsudstyret, vil det ifølge lovforslagets bemærkninger (side 32) udgøre en videregivelse af personoplysninger til den oprindelige dataansvarlige, og denne videregivelse skal have et retligt grundlag i den relevante databeskyttelseslovgivning. IT-Politisk Forening fortolker dette som at den egentlige ejer/bruger af TV-overvågningsudstyret ikke er dataansvarlig, mens overtagelsen finder sted.
Den beskrevne ordning for dataansvaret skaber imidlertid en række problemer i forhold til de registreredes rettigheder og den oprindelige dataansvarliges forpligtelser efter databeskyttelsesforordningen, som lovforslaget ikke forholder sig til.
Dataansvarlige som udfører TV-overvågning er bl.a. forpligtet til at give underretning til de berørte personer, jf. databeskyttelsesforordningens artikel 13. De registrerede kan gøre indsigelse mod behandlingen (artikel 21) og anmode om indsigt (artikel 15). Det er uklart hvordan den dataansvarlige skal efterleve disse forpligtelser i den situation hvor politiet har overtaget TV-overvågningen og pålagt den dataansvarlige tavshedspligt. Virksomheden eller den offentlige myndighed kan selvfølgelig besvare anmodninger om indsigt med, at der ikke behandles personoplysninger om de registrerede, hvilket formelt er korrekt, fordi virksomheden eller den offentlige myndighed midlertidigt ikke er dataansvarlig. Men en sådan oplysning vil reelt afsløre, at politiet har overtaget TV-overvågningen, fordi der er synlige kameraer eller skiltning om TV-overvågning, hvilket kan skabe en mulig konflikt i forhold til et pålæg om tavshedspligt.
Uanset hvem der er dataansvarlig for behandling af personoplysninger i forbindelse med TV-overvågning har de registrerede en række rettigheder, herunder ret til indsigt, ret til berigtigelse, sletning og indsigelse/begrænsning, ret til at klage til en tilsynsmyndighed, samt adgangen til effektive retsmidler over for den dataansvarlige. En reel udøvelse af disse rettigheder forudsætter imidlertid som minimum, at den registrerede er bekendt med den dataansvarliges identitet. Under normale omstændigheder sikres dette via oplysningspligten efter databeskyttelsesforordningens artikel 13, men i situationen hvor politiet har overtaget TV-overvågningen, vil disse oplysninger om den dataansvarlige ikke være korrekte.
Underretning af borgerne om indgrebet bør være et ubetinget krav
Efter IT-Politisk Forenings opfattelse er det vigtigt, at der sker en passende underretning af de berørte personer. For det første er underretning af de registrerede om behandling af personoplysninger et væsentligt element i europæisk databeskyttelseslovgivning, og en forudsætning for at de registrerede kan udøve deres rettigheder. For det andet vil underretning af de berørte borgere skabe transparens om politiets faktiske overtagelse af TV-overvågning, hvilket kan bidrage til at mindske følelsen hos de berørte personer af, at deres privatliv er genstand for konstant overvågning, samt modvirke eventuel mytedannelse om at ”politiet overvåger borgerne hele tiden”.
Overtagelse af TV-overvågning vil efter IT-Politisk Forenings opfattelse være en foranstaltning, som skal opfylde kravene i databeskyttelsesforordningens artikel 23 (begrænsninger). Det skyldes at overtagelse kan sidestilles med en fuldstændig videregivelse til politiet af de personoplysninger, som behandles i forbindelse med den dataansvarliges TV-overvågning. Begrænsninger efter artikel 23 skal have specifikke bestemmelser, som blandt andet indebærer underretning af de registrerede om begrænsningen, jf. artikel 23, stk. 2, litra h.
Da politiet almindeligvis ikke kender identiteten på de personer der bliver udsat for TV-overvågningen, vil det være mest hensigtsmæssigt, at denne information gives generelt til borgerne på politiets hjemmeside med angivelse af geografisk og tidsmæssig udstrækning af indgrebet, eksempelvis svarende til den information vedrørende geografisk område og tidsrum, som typisk gives til borgerne i forbindelse med politiets oprettelse af visitationszoner.
Denne information til borgerne bør gives så snart informationen (underretningen) ikke kan skade den konkrete efterforskning, som har givet anledning til indgrebet. I situationer med forebyggende overvågning ved eksempelvis besøg af særligt udsatte udenlandske statsoverhoveder (som lovforslaget nævner som en mulighed), bør der som udgangspunkt ikke være noget til hinder for at underretningen gives før indgrebet.
Lovforslaget opererer alene med en underretning af den, som har rådighed over TV-overvågningen (som kan være både den dataansvarlige og en databehandler). Det er helt utilstrækkeligt for at sikre underretning af de personer, som er reelt berørt af indgrebet, altså borgerne. Samtidig er der i bemærkningerne til den foreslåede § 791 e, stk. 8 for mange undtagelser for helt at undlade underretning, eksempelvis den meget ukonkrete begrundelse om at beskytte politiets efterforskningsmetoder.
Behandling af personoplysninger fra overtaget TV-overvågning
Eftersom overtagelse af TV-overvågning i et større område er et meget vidtgående indgreb i borgernes grundlæggende rettigheder, bør der efter IT-Politisk Forenings opfattelse kun være mulighed for at bruge optagelserne i den konkrete efterforskning, som har givet anledning til indgrebet.
Det forhold, at politiet uden overtagelse af TV-overvågningen ville kunne få adgang til eventuelle optagelser hos de dataansvarlige med en almindelig editionskendelse (uden krav om kriminalitet af en bestemt grovhed), eller at de dataansvarlige frivilligt kan videregive optagelser fra TV-overvågning til politiet, kan efter IT-Politisk Forenings opfattelse ikke sammenlignes med en situation, hvor politiet har direkte adgang til den fuldstændige TV-overvågning hos et potentielt stort antal dataansvarlige i et bestemt område. Den direkte adgang med mulighed for aktiv monitorering, herunder med anvendelse af nye teknologier som automatisk ansigtsgenkendelse (i fremtiden), vil indebære et langt mere omfattende indgreb i borgernes grundlæggende ret til privatliv og databeskyttelse end traditionel passiv TV-overvågning hos en række forskellige dataansvarlige. Et mere omfattende indgreb kræver større retsgarantier for at beskytte borgerne.
Det er endvidere et generelt princip i europæisk databeskyttelsesret, at indsamling af personoplysninger skal ske til specifikke formål, og at den senere behandling ikke må være uforenelig med det oprindelige formål. Indsamling af personoplysninger via overtagelse af TV-overvågning efter den foreslåede § 791 e i retsplejeloven kan kun ske, hvis der er afgørende grunde til det med henblik på at forebygge eller efterforske en lovovertrædelse, der kan betegnes som grov kriminalitet (strafferamme på mindst 6 år eller en forsætlig overtrædelse af straffelovens kapitel 12 eller 13). Hvis der er mulighed for at benytte de indsamlede oplysninger fra denne TV-overvågning til efterforskning af almindelig (ikke-grov) kriminalitet, vil der efter IT-Politisk Forenings opfattelse være tale om en viderebehandling af personoplysninger, som er uforenelig med det oprindelige formål med indsamlingen.
Aftaler om adgang til TV-overvågningsudstyret (herunder fjernadgang)
Ifølge bemærkningerne til § 791 e, stk. 1 er det i lovforslaget forudset, at politiet kan indgå aftaler med den, som har rådighed over TV-overvågningen, om at træffe tekniske foranstaltninger, som gør det nemmere for politiet at overtage TV-overvågning på et senere tidspunkt.
Hertil skal IT-Politisk Forening bemærke, at sådanne frivillige aftaler alene må kunne indgås med den dataansvarlige for TV-overvågningen, og ikke en databehandler som har fysisk rådighed over udstyret. Efter databeskyttelsesforordningens artikel 29 må en databehandler ikke behandle personoplysninger uden instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-retten eller medlemsstaternes nationale ret. Det er relevant for pligten til at bistå politiet efter § 791 e, stk. 5, som kan rettes direkte mod en databehandler. Men undtagelsen (”medmindre det kræves”) i artikel 29 kan ikke med rimelighed udstrækkes til at gælde for frivillige aftaler om tekniske foranstaltninger vedrørende behandlingen, som kan gøre politiets senere direkte adgang til TV-overvågningen nemmere. Det er efter lovforslaget netop ikke et krav, at der indgås aftaler med politiet om tekniske foranstaltninger for at fremme en eventuel senere (fjern)adgang til TV-overvågningsudstyret.
Derudover har IT-Politisk Forening på det mere generelle plan meget svært ved at se, hvordan en dataansvarlig kan overholde databeskyttelsesforordningens bestemmelser om behandlingssikkerhed, hvis der frivilligt indbygges en sådan ”bagdør” som tillader politiet at koble sig ind på den dataansvarliges TV-overvågning ved fjernadgang. Det vil nærmest uundgåeligt skabe en risiko for, at den tekniske adgang til udstyret (”bagdøren”) misbruges at andre, for eksempel fremmede efterretningstjenester eller IT-kriminelle.
Efter IT-Politisk Forenings opfattelse giver databeskyttelsesforordningen generelt og specielt artikel 25, stk. 1 (databeskyttelse gennem design) en pligt for den dataansvarlige til at beskytte TV-overvågning med tekniske midler, som kan gøre en sådan type adgang umulig. Det kunne eksempelvis være kryptering og brug af SSL-certifikater, således at et netværksforbundet kamera alene tillader krypteret kommunikation med en bestemt filserver, hvor optagelserne gemmes i krypteret form.