H&M Hennes & Mauritz

IMY inledde tillsyn avseende H&M:s kamerabevakning i bolagets verksamhetslokaler (distributionscenter och lager) med anledning av tips och klagomål från anställda. Granskningen avsåg dels H&M:s ordinarie bevakning med säkerhetskameror och processkameror, dels dold bevakning som en gruppledare hade bedrivit på eget bevåg i ett arbetsrum under en period. Tillsynen var avgränsad till frågorna om rättslig grund, och kravet på upplysning i kamerabevakningslagen samt informationsskyldigheten enligt dataskyddsförordningen.

Tillfällig bevakning i ett arbetsrum

Bevakningen av en arbetsplats i ett rum hade pågått under sammanlagt fem nätter. H&M anförde dock att detta inte var något som H&M hade påkallat. En gruppledare hade agerat helt och hållet på eget initiativ, vilket var ett klart avsteg från H&M:s instruktioner och policyer om hur kamerabevakning ska bedrivas. H&M menade att bolaget inte kunde anses vara personuppgiftsansvarig och påpekade att anställda kan anses som personuppgiftsansvariga för behandling som sker i strid med arbetsgivarens instruktioner. H&M ansåg att det inte hade varit fråga om kamerabevakning som skett inom ramen för den anställdes arbetsuppgifter eller tjänsteåligganden, och att H&M hade vidtagit alla lämpliga tekniska och organisatoriska åtgärder. 

IMY bedömde att H&M var att anse som personuppgiftsansvarig även för den dolda kamerabevakningen. Bevakningen kunde inte anses vara klart icke-anställningsrelaterad, bland annat eftersom den föranletts av verksamhetsrelaterade problem på arbetsplatsen, den anställde hade använt H&M:s utrustning för att bedriva bevakningen och materialet hade använts för verksamhetsändamål genom att det utgjort underlag vid arbetsrättsliga samtal som lett till arbetsrättsliga åtgärder. IMY konstaterade att H&M hade överträtt artiklarna 6.1 och 13 i dataskyddsförordningen samt 15 § i kamerabevakningslagen. IMY bedömde att det inte var fråga om ”mindre överträdelser” och beslutade att H&M skulle betala en administrativ sanktionsavgift på 300 000 kronor.

Ordinarie bevakning

IMY bedömde att det saknades information om kontaktuppgifter till dataskyddsombud på vissa skyltar vilket H&M förelades att åtgärda.