Integritetsskyddsmyndigheten¹ (IMY) meddelade den 11 februari 2021 att den har inlett två granskningar av kamerabevakning av lager och har, under de senaste månaderna även utfärdat sanktionsavgifter för olaglig kamerabevakning.
Sedan den 1 augusti 2018 gäller en ny kamerabevakningslag i Sverige. Jämfört med tidigare lagstiftning innebär kamerabevakningslagen att färre aktörer behöver ansöka om tillstånd för att få bedriva kamerabevakning. Utgångspunkten är att privata företag som inte utför uppgifter av allmänt intresse inte behöver tillstånd för kamerabevakning. Ett vanligt missförstånd är dock att den slopade tillståndsskyldigheten innebär att privata företag kan sätta upp bevakningskameror var som helst och hur som helst och många företag brister i efterlevnaden av tillämplig lagstiftning.
I denna artikel redogör vi för de krav som gäller vid kamerabevakning för privata företag och vilka bedömningar och överväganden som behöver göras i samband med att ett företag överväger att sätta upp bevakningskameror.
¹ Dataskyddsmyndigheten bytte namn till Integritetsskyddsmyndigheten den 1 januari 2021.
Sammanfattning
Privata företag som bedriver kamerabevakning behöver som huvudregel inte tillstånd för kamerabevakningen. Företag som inte omfattas av tillståndsplikten behöver dock följa reglerna i kamerabevakningslagen och dataskyddsförordningen (ofta benämnd GDPR) för att kamerabevakningen ska vara tillåten. Kamerabevakningslagen innefattar krav på upplysning om bevakningen, förhandlingsskyldighet med fackliga organisationer samt tystnadsplikt och enligt dataskyddsförordningen ställs bland annat krav på rättslig grund, uppgiftsminimering och informationsgivning. Vid bevakning av anställda krävs särskilda överväganden.
Kamerabevakning kan i många fall ske med stöd av en intresseavvägning, men en bedömning av huruvida kamerabevakningen är tillåten måste alltid göras i varje enskilt fall där hänsyn tas till hur kamerabevakningen faktiskt bedrivs. Vid brister i hur kamerabevakning bedrivs kan IMY bland annat besluta att ett företag som bryter mot reglerna i dataskyddsförordningen ska påföras sanktionsavgifter.
Kamerabevakning – vad är det och vad gäller?
All kamerabevakning som, utan att manövreras på platsen, sker på ett sätt som innebär varaktig eller regelbundet upprepad personbevakning i Sverige omfattas av bestämmelserna i kamerabevakningslagen. Detta under förutsättning att den som utför bevakningen är etablerad i Sverige eller utanför EU/EES.
Enligt kamerabevakningslagen krävs i vissa fall tillstånd för kamerabevakning. Ett sådant tillstånd, vilket ansöks om hos IMY, krävs när kamerabevakningen sker av en plats dit allmänheten har tillträde och den ska bedrivas (i) av en myndighet eller (ii) av någon annan än en myndighet vid utförande av en uppgift av allmänt intresse. Kamerabevakningslagen innebär därför sällan att privata företag måste ansöka om tillstånd för kamerabevakning. Det faktum att kamerabevakning hos privata företag i de allra flesta fall kan ske utan tillstånd innebär däremot inte att kamerabevakning kan ske fritt för den som önskar sätta upp en kamera. Kamerabevakningslagen uppställer bland annat regler kring krav på upplysning, förhandlingsskyldighet med fackliga organisationer och tystnadsplikt, som behöver iakttas av samtliga företag som utövar kamerabevakning. Därutöver innebär kamerabevakning ofta en behandling av personuppgifter, vilket innebär att den som bedriver kamerabevakning – oavsett om kamerabevakningen omfattas av tillståndsplikten eller inte – måste följa reglerna i dataskyddsförordningen och annan tillämplig dataskyddslagstiftning.
Kamerabevakning och dataskyddsförordningen
Eftersom kamerabevakning, i de allra flesta fall, innebär en behandling av personuppgifter måste dataskyddsförordningens bestämmelser följas. Det innebär bland annat att man, precis som vid all annan behandling av personuppgifter, måste stödja sin behandling på en rättslig grund för att den ska vara tillåten. I privata företag, där uppgifter av allmänt intresse inte utförs, är det den rättsliga grunden ”intresseavvägning” som i huvudsak aktualiseras. För att kamerabevakning ska vara tillåten krävs det att kamerabevakningen är nödvändig för ett berättigat intresse och att det berättigade intresset ifråga väger tyngre än den enskildes intressen av att inte bli bevakad.
Ett berättigat intresse kan vara bevakning för säkerhet och brottsförebyggande ändamål, där man vill förhindra t.ex. inbrott i en butikslokal. Detta intresse måste därefter ställas mot intresset av att inte bli filmad hos den som blir föremål för bevakningen. Bedömningen måste ske innan kamerabevakningen påbörjas.
För att kunna göra en intresseavvägning krävs det att man i förväg har fastställt för vilka ändamål man önskar bedriva kamerabevakningen. De ändamål man bestämt sätter även ramarna för den kommande bevakningen. Det material som behandlas vid kamerabevakningen får endast användas för de ändamål som ursprungligen bestämts och kan därefter inte användas för andra syften. Det innebär att ett företag som bevakat en butikslokal i syfte att förhindra butiksstölder inte senare får använda det inspelade materialet för att kontrollera hur de anställda arbetat. Därutöver ställer dataskyddsförordningen krav på uppgiftsminimering, varför kamerabevakning endast får ske i så stor utsträckning som är motiverat av ändamålet. Det som filmas ska inte sparas längre än nödvändigt, och materialet ska hanteras på ett säkert sätt.
Faktorer som kan spela in i de bedömningar som görs är exempelvis hur många kameror man behöver, var/hur de ska placeras, vilka områden som ska bevakas, under vilka dagar och tider kamerorna ska vara igång och vilken typ av bevakning som ska utföras (om bevakning endast ska ske i realtid eller om viss lagring ska ske samt om både ljud och bild ska tas upp). Det är även relevant huruvida teknik som främjar skyddet av den enskildes personliga integritet ska användas. Bevakningen får inte vara mer omfattande än vad som krävs för att uppfylla ändamålen med bevakningen. Huruvida andra, mindre ingripande åtgärder, har vidtagits tidigare utan önskat resultat spelar också in.
Det är viktigt att de bedömningar och överväganden som görs avseende kamerabevakningen dokumenteras och sparas. I vissa fall krävs även att en särskild konsekvensbedömning görs, där man särskilt tittar på de risker som kan uppstå till följd av kamerabevakningen och hur sådana risker kan minimeras eller hanteras.
Den som bedriver kamerabevakning måste upplysa om att sådan bevakning sker på platsen. Jämfört med tidigare lagstiftning innebär den nuvarande regleringen en utökad omfattning av den information som ska lämnas. IMY rekommenderar att informationen ges på olika sätt, via så kallade informationslager. Det första lagret utgörs av varningsskyltar innehållandes den viktigaste informationen om bevakningen. Det andra lagret, med mer utförlig information, kan ges på annat sätt. Sådan mer utförlig information ska ges i ett icke-digitalt format, alltså t.ex. fysiskt på en central plats i den lokal som bevakas, men kan därutöver med fördel även lämnas på en hemsida. De varningsskyltar som sätts upp bör i vart fall innefatta nedan angiven information, vilket är mer omfattande än de skyltar som typiskt sett används:
- ändamålet med kamerabevakningen;
- den personuppgiftsansvariges identitet;
- kontaktuppgifter till den personuppgiftsansvarige och dess dataskyddsombud, om ett sådant finns;
- en upplysning om att de bevakade har rättigheter enligt dataskyddsförordningen;
- sådant som kan tänkas överraska den som blir bevakad, till exempel om bevakningsmaterialet lagras utanför EU, långa lagringstider, realtidsbevakning eller om ljud spelas in; samt
- information om vart den bevakade kan vända sig för att få övrig information om bevakningen.
Bedömningen av huruvida kamerabevakning är tillåten görs alltid utifrån en helhetsbedömning med utgångspunkt i omständigheterna i det enskilda fallet. Det är därför omöjligt att i förväg fastställa enskilda situationer där kamerabevakning alltid är tillåten. Det är IMY som utför granskning av kamerabevakning och beslutar om de bedömningar och överväganden som gjorts är korrekta. IMY kan bland annat besluta att ett företag som bryter mot reglerna i dataskyddsförordningen ska betala en administrativ sanktionsavgift. Storleken på sanktionsavgiften beror bl.a. på vilken typ av överträdelse det är fråga om samt företagets globala omsättning.
Den som bedriver kamerabevakning har ett ansvar att kunna visa att och hur dataskyddsförordningen efterlevs. Det är därför viktigt att – i förväg – fundera över dessa frågor och noggrant dokumentera de överväganden som görs.
Bevakning av anställda
De två tillsynsärenden som nyligen inletts av IMY har avsett områden där personal vistas. Syftet med tillsynen är därför att särskilt granska om kamerabevakningen används för att bevaka och leda personalen. Kamerabevakning av anställda betraktas som särskilt integritetskränkande. Det är därför inte tillåtet att rutinmässigt bevaka de anställda för att kontrollera hur de utför sina arbetsuppgifter. För att få bevaka anställda krävs tungt vägande skäl, till exempel misstanke om att de begår brott på arbetstid.
I kamerabevakningslagen finns en uttrycklig förhandlingsskyldighet gentemot berörd fackorganisation genom en hänvisning till 11-14 §§ lagen (1976:580) om medbestämmande i arbetslivet (MBL). Detta innebär att arbetsgivaren måste förhandla med den fackförening som företräder arbetstagarna innan arbetsgivaren fattar beslut om kamerabevakning av arbetsplatsen.
Vid den intresseavvägning som görs för att säkerställa att det finns en rättslig grund för bevakningen ska beaktas att anställda normalt har ett starkt intresse av att slippa bli kamerabevakade på arbetsplatsen. Det innebär att arbetsgivaren måste visa på starka skäl för bevakningen och att det inte går att komma tillrätta med problemen med mindre ingripande åtgärder.
IMY:s pågående granskningar
IMY har, i de tillsynsärenden som nyligen inletts, tillskrivit de två företagen ifråga för att kontrollera om den kamerabevakning som bedrivs utförs på ett korrekt sätt. Bedömningen tar utgångspunkt i ett flertal olika aspekter, såsom om kamerabevakning sker, när den i så fall inleddes, hur många kameror som används, var de är positionerade, om bild och ljud spelas in, vilket syftet är med bevakningen och med stöd av vilken rättslig grund bevakningen sker. Företagen ifråga har, mot bakgrund härav, tillställts varsin frågelista bestående av arton respektive tjugofyra frågor, vars svar kommer utgöra en del av IMY:s efterföljande bedömning. IMY kommer därefter fatta ett beslut i frågan och lämna besked om eventuella brister i dataskyddet. IMY kan även vidta ytterligare åtgärder, såsom att påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.
CHECKLISTA FÖR KAMERABEVAKNING
Innan man påbörjar kamerabevakning bör man bland annat fundera över följande frågor:
✔ Vilka ändamål har ni med bevakningen?
Kamerabevakning får endast ske för berättigade ändamål.
✔ Vilken rättslig grund stödjer ni bevakningen på?
Identifiera er rättsliga grund. I praktiken är det ofta den rättsliga grunden ”intresseavvägning” som är aktuell.
✔ Hur planerar ni att bedriva kamerabevakningen?
Fundera över hur många kameror som behövs, var/hur de ska vara placerade, vilka områden som ska bevakas, under vilka tider kamerorna ska vara igång och vilken typ av bevakning som ska göras. Bevakningen får inte vara mer omfattande än vad som krävs för att uppfylla ändamålen med bevakningen.
✔ Innebär kamerabevakningen att anställda bevakas?
Bevakning av anställda kräver särskilda överväganden. Som arbetsgivare kan du dessutom ha en förhandlingsskyldighet enligt MBL. Påkalla förhandlingen i så god tid som möjligt och innan kamerabevakning påbörjats.
✔ Behöver ni göra en konsekvensbedömning?
Fundera över om kamerabevakningen kan leda till en hög risk för de enskilda som bevakas. I så fall behöver en särskild konsekvensbedömning göras.
✔ Hur informerar ni om kamerabevakningen?
Informera om kamerabevakningen på ett tydligt sätt. Sätt upp skyltar med den mest nödvändiga informationen och komplettera med information på annat lämpligt sätt.
✔ Vilket material sparas och under hur lång tid?
Spara mindre! Fundera över hur ni kan begränsa lagringen av material.
✔ Vem kan komma åt materialet?
Se över säkerheten och fundera kring vilka som ska ha tillgång till materialet. Använder ni er av leverantörer som på något sätt har tillgång till materialet? Fundera i så fall över om personuppgiftsbiträdesavtal måste upprättas.
✔ Hur tar ni tillvara på de bevakades rättigheter?
Det är viktigt att känna till och ha rutiner för att hantera de rättigheter som den som blir bevakad har i förhållande till den som bevakar.
✔ Dokumentera!
Dokumentera de överväganden och bedömningar som görs.
Frågor?
Behöver du hjälp med frågor kring kamerabevakning eller vill du ha rådgivning kring hur du bäst agerar i enlighet med kamerabevakningslagen och dataskyddsförordningen? Kontakta gärna någon av oss eller din vanliga kontakt på Lindahl så hjälper vi till!
