Kamerabevakning för privata företag

Om ni som företag vill kamerabevaka måste ni följa reglerna i dataskyddsförordningen och kamerabevakningslagen. Det är ni som ansvarar för att er verksamhet följer kraven i lagstiftningen. Ni kan använda nedanstående vägledning som ett hjälpmedel i er bedömning av vad just ni behöver göra för att följa reglerna.

Restauranger som vill kamerabevaka

Butiker som vill kamerabevaka

Ändamål

För att kamerabevakningen ska vara tillåten krävs att ni har ett specifikt och berättigat ändamål med den. Ändamålet sätter ramarna för vad ni får och inte får göra. Det är inte tillåtet att lägga till ett nytt ändamål med bevakningen om detta är oförenligt med det ursprungliga ändamålet.

Till exempel kan ni inte börja kamerabevaka med ändamålet att förhindra skadegörelse för att sedan använda bevakningsmaterial för att undersöka hur många externa besökare företaget har under en viss tidsperiod. Kamerabevakningen ska vara nödvändig för att uppnå det specifika ändamålet. Det innebär att ni inte kan uppnå ändamålet med någon annan metod som är mindre integritetskänslig på ett rimligt sätt.

Rättslig grund

För att kunna bevaka behöver ni stöd av en rättslig grund i dataskyddsförordningen. Den rättsliga grund som i allmänhet blir tillämplig för kamerabevakning är att ni gjort en intresseavvägning. Det innebär att ni ska väga era behov och intressen av att bevaka mot det intrång i människors personliga integritet som kamerabevakningen innebär. Ni måste göra bedömningen och dokumentera den innan ni inleder kamerabevakningen.

Berättigat intresse

Det är viktigt att tänka på att ni måste ha ett så kallat berättigat intresse för att kamerabevaka. Ett berättigat intresse kan till exempel vara att förebygga brott och skadegörelse. Viktigt är också att det är ett faktiskt intresse. Det innebär att det ska vara fråga om ett verkligt förhållande. Bevakar ni en plats för att förhindra och förebygga brott måste ni kunna visa att platsen är brottsutsatt. Om det till exempel sker skadegörelse i anslutning till er entré innebär inte detta att det är tillåtet att bevaka resten av företagets lokaler om ni inte utsätts för skadegörelse eller brott även där. Det är möjligt att använda sig av någon annan rättslig grund än intresseavvägning vid kamerabevakning. Det finns dock praktiska utmaningar med det om det inte på förhand går att veta exakt vilka personer som kan komma att röra sig på platsen.

Tillstånd

Som privat företag behöver ni inte något tillstånd för kamerabevakning så länge ni inte utför en uppgift av allmänt intresse. En uppgift av allmänt intresse enligt kamerabevakningslagen är till exempel då en skola eller en vårdcentral drivs i privat regi. Tillstånd som meddelats av länsstyrelsen till privata verksamheter som inte utför en uppgift av allmänt intresse slutade gälla 1 augusti 2018, eftersom de inte längre behövs. Har ni haft tillstånd från länsstyrelsen tidigare talar detta dock för att bevakningen är tillåten även enligt den nya lagstiftningen.

Lagringstid och behörighet

Ni måste ta ställning till när man får titta på det inspelade materialet och vem eller vilka på företaget som ska få behörighet titta på det. Det är inte tillåtet att slentrianmässigt titta på inspelat material eller titta på materialet i andra syften än för de som man uttryckligen bestämt att man ska bevaka för. Påbörjar ni kamerabevakning i syfte att förhindra och utreda brott så är det till exempel inte tillåtet att ta del av på materialet för att kontrollera att ni får era leveranser i tid eller om er receptionist ser glad ut när hen hälsar era besökare välkomna.

Om det skett ett inbrott är det däremot tillåtet att använda bevakningsmaterialet för att upprätta en polisanmälan. Det är tillåtet att dela med sig av bevakningsmaterialet till polisen eller någon annan brottsbekämpande myndighet om det behövs för att utreda, förebygga, förhindra eller upptäcka brottslig verksamhet med fängelse i straffskalan. Det är också tillåtet att lämna ut material till en kommun eller en annan myndighet som ansvarar för räddningstjänst om materialet behövs för att förebygga en hotande olycka eller för att minska verkningarna av en redan inträffad olycka.

Bevakningsmaterialet ska sparas så kort tid som möjligt

Det är som utgångspunkt alltid tillåtet att spara bevakningsmaterialet under tre dygn. Om ni vill spara materialet längre än så måste ni motivera varför.

Plats och tid för bevakningen

Det är viktigt att ni inte bevakar en plats som är större än nödvändigt med hänsyn till ändamålet med bevakningen. Detta eftersom det inte är tillåtet att samla in onödigt mycket personuppgifter, vilket kan ske om en större plats än nödvändigt bevakas. Är det inte möjligt att rikta kameran så att den inte filmar en onödigt stor plats finns det tekniska lösningar som kan maskera områden som filmas.

Vilka tider på dygnet ni tänker kamerabevakningen är också av betydelse. Har ni till exempel problem med brott och skadegörelse enbart under sena kvällar och nätter innebär detta att ni inte kan filma under dagtid. För att det ska vara tillåtet att filma dygnet runt krävs att ni kan visa att det finns ett behov av det.

Den bevakades rättigheter

Om ni bevakar är det viktigt att känna till och ha rutiner för att hantera de rättigheter som den som blir bevakad har i förhållande till den som bevakar.

Rättigheter som de som blir bevakade har

Vid kamerabevakning är det viktigt att informera om bevakningen.

Informera om kamerabevakning

Det är inte tillåtet att sätta upp dolda kameror utan att informera den som blir bevakad.

Bevakning av personal

Det är inte tillåtet att rutinmässigt bevaka personalen för att kontrollera hur de utför sina arbetsuppgifter. Vill ni bevaka er personal krävs tungt vägande skäl, till exempel misstanke att era anställda begår brott på arbetstid. Detta utesluter inte att det är tillåtet att bevaka till exempel en industrilokal av skäl som rör till exempel fysisk säkerhet för anställda, men ni ska göra en intresseavvägning även för denna bevakning.

Förhandla med facket

Om ni som arbetsgivare vill sätta upp bevakningskameror finns det en skyldighet att förhandla med en arbetstagarorganisation enligt 11-14 §§ lag (1976:580) om medbestämmande i arbetslivet.

Ljud

För att kunna spela in ljud krävs att ni har tungt vägande skäl då detta anses vara särskilt integritetskänsligt. Ni måste då kunna visa att behovet av ljudinspelning väger tyngre än de bevakades intressen.

Ansiktsigenkänning

Vill ni använda ansiktsigenkänningsteknik, alltså teknik för att entydigt identifiera en person utifrån en digital bild, betyder det att ni behandlar så kallade biometriska uppgifter. Det räknas som känsliga personuppgifter i dataskyddsförordningen och har ett starkare skydd. För att kunna behandla känsliga personuppgifter krävs, förutom stöd i en rättslig grund, att ni uppfyller ett av undantagen mot förbudet av behandla dessa uppgifter.

För privata företag kommer det tillämpliga undantaget oftast vara att den registrerade lämnat sitt uttryckliga och informerade samtycke. Det är då viktigt att rikta kameran på ett sådant sätt att personer som inte lämnat sitt samtycke inte hamnar i kamerans upptagningsområde. Det är därför inte tillåtet att använda ansiktsigenkänningstekniken på enskilda som inte lämnat sitt samtycke.

Läs mer om ansiktsigenkänning och dataskydd

Det är i normalfallet inte möjligt att använda sig av undantaget som handlar om att den registrerade offentliggjort uppgifterna på ett tydligt sätt. Att enbart gå in i en kameras upptagningsområde innebär inte att den registrerade på ett tydligt sätt avser att offentliggöra känsliga personuppgifter om sig själv.

IMY anser att kameror med ansiktsigenkänningsteknik är särskilt integritetskänsligt. På grund av detta ska ni göra en konsekvensbedömning innan ni påbörjar behandlingen. Om ni efter bedömningen ändå anser att det finns en hög risk för den registrerade ska ni även göra ett förhandssamråd med IMY. IMY anser att kamerabevakning som innefattar ansiktsigenkänning eller ansiktsanalys bör föranleda en konsekvensbedömning och sannolikt även ett förhandssamråd med IMY.

Konsekvensbedömning inför kamerabevakning

Så kallad ansiktsanalys, där det inte går att identifiera en enskild person, räknas inte som ansiktsigenkänning och faller därför inte under begreppet känsliga personuppgifter. Ansiktsanalys kan det till exempel röra sig om då någon kamerabevakar med teknik som möjliggör en analys av i vilket åldersspann den registrerade befinner sig eller vilket kön hen har.

Drönare

Använder ni drönare i er verksamhet på ett sådant sätt att det går att identifiera människor måste ni följa reglerna i dataskyddsförordningen och kamerabevakningslagen. Om drönaren används på ett sätt som innebär att det inte går att identifiera människor är inte reglerna i dataskyddsförordningen och kamerabevakningslagen tillämpliga, till exempel om drönaren flyger på en så hög höjd att det inte går att identifiera människor. Det kan finnas utmaningar med att uppfylla vissa skyldigheter enligt dataskyddsförordningen och kamerabevakningslagen när du filmar med drönare. Det kan vara svårt att informera om kamerabevakningen om det inte på förhand går att säga var drönaren kommer att användas. Vid dessa tillfällen kan ni till exempel upplysa om var och när kamerabevakningen kommer äga rum på er webbplats. Det är ni som bedriver bevakningen som ska ta ställning till hur ni uppfyller kraven i dataskyddsförordningen och kamerabevakningslagen i er verksamhet.

Vad händer om ett företag bevakar olagligt?

IMY kan besluta att ett företag som bryter mot reglerna i dataskyddsförordningen ska betala en administrativ sanktionsavgift. Avgiften kan som mest vara 20 miljoner euro eller fyra procent av bolagets globala årsomsättning, beroende på vilket belopp som är högst. För de något mindre allvarliga överträdelserna gäller ett maxbelopp på 10 miljoner euro eller 2 procent av den globala årsomsättningen.

Hur hög sanktionsavgiften blir beror dels på vilken bestämmelse överträdelsen gäller, dels på omständigheterna i det enskilda fallet. Vi kommer bland annat att titta på hur allvarlig överträdelsen är, hur stor skada som skett, om det är fråga om känsliga personuppgifter, om det rör sig om upprepade överträdelser och om överträdelsen är avsiktlig. Som tillsynsmyndighet ska vi se till att en eventuell sanktionsavgift är effektiv, proportionerlig och avskräckande. Därför kan även exempelvis organisationens storlek ha betydelse.

Vi kan även utfärda varningar om en planerad behandling av personuppgifter sannolikt kommer att bryta mot bestämmelserna i förordningen. Vi kan också utfärda reprimander om en pågående behandling av personuppgifter bryter mot bestämmelserna och kan dessutom förelägga ett företag eller annan organisation att de måste upphöra med en viss behandling. Våra tillsynsbeslut kan överklagas till förvaltningsrätt.

Har någon drabbats av en påvisbar skada på grund av kamerabevakningen har hen även rätt till skadestånd. Det är den registrerade som ska driva en skadeståndstalan på egen hand, utan hjälp av oss som tillsynsmyndighet.

Vägledning vid kamerabevakning

Vi har tagit fram en rapport som innehåller råd och rekommendationer för alla verksamheter som tänkt kamerabevaka, oavsett om de är skyldiga att ansöka om tillstånd eller inte.

Läs rapporten (pdf, 9 MB)

Vägledning vid kamerabevakning

Vi har tagit fram en rapport som innehåller råd och rekommendationer för alla verksamheter som tänkt kamerabevaka, oavsett om de är skyldiga att ansöka om tillstånd eller inte.

Läs rapporten (pdf, 9 MB)