Steg 3 – Identifiera rättslig grund och gör nödvändiga bedömningar
Det här steget består av två delar, ni ska både identifiera vilken rättslig grund som ni ska använda er av för er kamerabevakning och göra de nödvändiga bedömningar som hör till.
Om ni inte har genomfört steg 1–2 i arbetsgången – gör det först. Ni behöver både genomföra detta steg och steg 4 för att bedöma om ni har rättslig grund för er kamerabevakning.
Innan ni börjar kamerabevaka behöver ni identifiera er rättsliga grund i artikel 6.1 i dataskyddsförordningen (GDPR). För att behandlingen av personuppgifter ska vara laglig krävs att det finns stöd i minst en av följande rättsliga grunder:
Avtal med den registrerade
Rättslig förpliktelse
Skydda grundläggande intresse
Uppgift av allmänt intresse och myndighetsutövning
Intresseavvägning
(Samtycke – inte en lämplig rättslig grund för kamerabevakning)
Här beskriver vi de två vanligaste rättsliga grunderna för kamerabevakning – uppgift av allmänt intresse och myndighetsutövning samt intresseavvägning.
Vid kamerabevakning är samtycke inte en lämplig rättslig grund. Ett giltigt samtycke ska ha samlats in i förväg från samtliga personer som blir bevakade, vara helt frivilligt och kunna återkallas. I regel är det endast möjligt att använda samtycke som rättslig grund när bevakningen sker av en plats som uteslutande omfattar ett visst utpekat antal individer.
Uppgift av allmänt intresse och myndighetsutövning (6.1 e)
För myndigheter och andra inom offentlig verksamhet är uppgift av allmänt intresse eller myndighetsutövning den rättsliga grund som i allmänhet går att använda.
Privata aktörer kan också omfattas vid utförande av en uppgift av allmänt intresse, till exempel privata skolor och vårdgivare. Ibland är det tveksamt om den uppgift som en privat aktör har är av allmänt intresse. Exempelvis om uppgiften inte är fastställd i enlighet med vare sig unionsrätten eller den nationella rätten, även om själva verksamheten är av allmänt intresse. Då bör ni överväga en annan rättslig grund, som till exempel intresseavvägning.
För privata företag, föreningar och organisationer i privat verksamhet är intresseavvägning den rättsliga grund som i allmänhet går att använda i 6.1 f i GDPR.
Myndigheter kan i undantagsfall tillämpa intresseavvägning i 6.1 f i GDPR som rättslig grund om kamerabevakningen inte är kopplad till eller har samband med utförandet av deras specifika uppgifter. Myndigheter ska dock inte använda intresseavvägning som rättslig grund vid utförandet av deras uppgifter. (EDPB:s riktlinjer 1/2024 p. 99)
Gör nödvändiga bedömningar
Beroende på vilken rättslig grund ni har identifierat behöver specifika bedömningar göras för att avgöra om ni kan använda den rättsliga grunden. Här beskriver vi bedömningarna som är nödvändiga för de två vanligaste rättsliga grunderna för kamerabevakning.
Uppgift av allmänt intresse och myndighetsutövning (6.1 e)
Bedömningen för den här rättsliga grunden består av fyra delar:
Bedöm om det har fastställts en uppgift av allmänt intresse.
Bedöm om bestämmelsen är tillräckligt tydlig och precis samt om dess tillämpning är förutsebar för de som bevakas.
Bedöm om behandlingen är nödvändig för att utföra uppgiften av allmänt intresse.
Gör en intresseavvägning.
Alla förutsättningar i de fyra delarna måste vara uppfyllda för att kamerabevakningen ska kunna ske med stöd av artikel 6.1 e i GDPR.
Börja med att identifiera var er uppgift av allmänt intresse har fastställts i nationell rätt eller EU-rätt. Vilken bestämmelse, vilket beslut eller kollektivavtal fastställer den uppgift som ni ska utföra genom kamerabevakning?
Det är ni själva som har bäst kunskap om vilken bestämmelse om uppgift av allmänt intresse som är aktuell i er verksamhet. Om det är tveksamt om det finns en uppgift av allmänt intresse som ni kan stödja er kamerabevakning på kan ni fundera på om det finns någon annan rättslig grund i artikel 6 i GDPR som kan bli tillämplig för er.
Vid bedömningen av om en arbetsuppgift eller myndighetsutövning följer av exempelvis en lagbestämmelse kan bland annat förarbetsuttalanden, bestämmelsens syfte och bestämmelsens rättsliga kontext behöva beaktas. Det är alltså inte bara lagtextens ordalydelse som är av relevans för att avgöra om något följer av lag.
Exempel på bestämmelser som fastställer en uppgift av allmänt intresse
För kamerabevakning i skolverksamheter kan det exempelvis röra sig om 5 kap. 3 § skollagen. Där anges att alla elever ska tillförsäkras en skolmiljö där utbildningen präglas av trygghet och undervisningen av studiero. Det är huvudmannen, exempelvis utbildningsnämnden i en kommun, som ska säkerställa att det på skolan bedrivs ett förebyggande arbete som syftar till att skapa trygghet och studiero.
När det gäller kommuners kamerabevakning införs (den 1 april 2025) en bestämmelse om kamerabevakning i lagen (2023:196) om kommuners ansvar för brottsförebyggande arbete. Där anges att kommuner får bedriva kamerabevakning i syfte att verka för att platser i kommunen dit allmänheten har tillträde är trygga och säkra.
Fördjupning om vad som ska fastställas och var ni kan hitta fastställelsen
Det som ska fastställas i unionsrätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 e i GDPR. Det krävs alltså inte en reglering i nationell rätt av den specifika personuppgiftsbehandling som ska ske med stöd av denna grund. Det räcker att uppgiften av allmänt intresse fastställs i den nationella lagstiftningen. (Prop. 2017/18:105 s. 49)
Enligt artikel 6.3 i GDPR ska den grund för behandlingen som avses i artikel 6.1 e i GDPR fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Enligt 2 kap. 2 § dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 e i GDPR om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning.
Hur ser bestämmelsen ut där er uppgift av allmänt intresse framgår? Hur integritetskänslig är er planerade kamerabevakning? Ju känsligare bevakning, desto större krav ställs på bestämmelsens tydlighet, precision och förutsägbarhet.
Kamerabevakning är i grunden alltid en integritetskänslig personuppgiftsbehandling och därför ställs som utgångspunkt relativt höga krav på tydlighet och precision. Ni behöver bedöma om er bestämmelse är tillräckligt tydlig och precis för att kunna ligga till grund för den bevakning som ni har tänkt bedriva. Ni behöver också ta ställning till om enskilda personer kan förutse att ni kan komma att utföra kamerabevakning med stöd av bestämmelsen.
En bedömning ska göras i varje enskilt fall
Av skäl 41 till GDPR framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsebar för de som omfattas av den, i enlighet med rättspraxis vid EU-domstolen och Europadomstolen. Vilken grad av tydlighet och precision som krävs måste enligt förarbetena bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär.
En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten, såsom när det gäller behandling av elevers namn i reguljär skolverksamhet, kan enligt förarbetena ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång, till exempel behandling av känsliga personuppgifter inom hälso- och sjukvården, kräver däremot att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart. Om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden krävs dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§ regeringsformen. (Prop. 2017/18:105 s. 51)
IMY:s tillsynsbeslut är vägledande
Ni kan få vägledning om bedömningen av bestämmelsens tydlighet och förutsägbarhet i IMY:s tillsynsbeslut om kamerabevakning. Här är tre exempel, ni hittar länkar till besluten längst ner på sidan.
IMY bedömde att 5 kap. 3 § skollagen var tillräckligt tydlig och förutsebar för att utgöra grund för kamerabevakning i en skola. (DI-2021-5774)
IMY granskade räddningstjänstens kamerabevakning av anställda i ett fall och bedömde att lag om skydd mot olyckor var tillräckligt specifik för den aktuella bevakningen. (DI-2018-22697)
När det gäller bevakning av sovrum på ett LSS-boende har IMY däremot bedömt att 6 § i lag (2001:454) om behandling av personuppgifter inom socialtjänsten var relativt bred och opreciserad, och att det inte kunde antas att enskilda skulle kunna förutse att Socialtjänsten kunde komma att utföra integritetskänslig kamerabevakning med stöd av den aktuella bestämmelsen. (DI-2019-7782)
Ni behöver analysera om behandlingen är nödvändig för att utföra uppgiften av allmänt intresse och är proportionerlig i förhållande till de mål som eftersträvas. Ni bör då ta hänsyn till följande faktorer:
Andra alternativ till kamerabevakning
Begränsa bevakningen i tid och rum
Realtidsbevakning och/eller bildinspelning
Andra alternativ till kamerabevakning
Finns det andra alternativa åtgärder till kamerabevakning, exempelvis bättre belysning, väktare eller larmsystem, som skulle kunna prövas istället för kamerabevakning för att uppnå samma syfte?
Begränsa bevakningen i tid och rum
En del av bedömningen av bevakningens nödvändighet är att se till att bevakningen begränsas i tid och rum. Det är för att ni ska uppfylla den grundläggande principen om uppgiftsminimering i artikel 5.1 c i GDPR. Principen innebär att personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. (EU-domstolens dom TK)
Ni kan behöva analysera de händelser som har skett på platsen för att avgöra var någonstans och när i tid som incidenter har inträffat. När det gäller var bevakning ska ske kan ni fundera över om hela det tänkta området behöver bevakas, eller om det är tillräckligt att en mindre yta bevakas. Om det bara är en viss yta som är drabbad av brott behöver kanske inte omkringliggande ytor bevakas. Exempelvis kan det i vissa fall vara tillräckligt att bevaka en entré och inte hela utrymmet inomhus.
När det gäller tiden för bevakningen kan ni fundera över om det behövs bevakning hela dygnet, eller om bevakningen kan begränsas till tider då få eller inga personer ska vistas på platsen. Om brott främst sker nattetid finns det normalt bara ett behov av bevakning på natten. Bedömningen kan leda till att ni behöver begränsa er kamerabevakning i tid och rum för att den ska anses förenlig med principen om uppgiftsminimering.
Realtidsbevakning och/eller bildinspelning
Kamerabevakning kan genomföras med realtidsbevakning och/eller bildinspelning. Realtidsbevakning innebär att det finns en möjlighet att titta på kamerabilderna på en monitor medan bevakningen pågår. Bildinspelning innebär att ni spelar in och sparar kameramaterialet en viss tid.
Vilken typ av kamerabevakning är nödvändig för att uppnå ert syfte med bevakningen? Bildinspelning innebär i regel ett större integritetsintrång än att bevaka i realtid och bör därför användas med större försiktighet. Ett mer integritetsvänligt alternativ är att endast bevaka med bildinspelning vid exempelvis aktiverat inbrotts- eller överfallslarm. Om ert syfte med bevakningen är att förebygga, förhindra och upptäcka ordningsstörningar eller att säkerställa att endast behöriga personer ges tillträde till lokalerna kan detta ofta tillgodoses genom enbart realtidsbevakning.
Rättslig fördjupning om nödvändighet
För att artikel 6.1 e i GDPR ska kunna ligga till grund för en personuppgiftsbehandling krävs inte bara att den personuppgiftsansvariga har en uppgift av allmänt intresse som fastställts i nationell rätt eller unionsrätten. Den aktuella behandlingen, här kamerabevakning, ska även vara nödvändig för att utföra uppgiften av allmänt intresse. Av skäl 39 till GDPR framgår att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel.
Gällande kravet på nödvändighet har EU-domstolen angett att kravet inte är uppfyllt när det eftersträvade målet av allmänintresse rimligen kan uppnås på ett lika effektivt sätt genom andra medel som i mindre utsträckning inskränker de registrerades grundläggande rättigheter, särskilt rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i stadgan.
EU-domstolen har vidare uttalat att undantag från och inskränkningar av principen om skydd för personuppgifter inte får gå utöver vad som är strikt nödvändigt. Den personuppgiftsansvarige ska därför, även när denne agerar inom ramen för sin uppgift av allmänt intresse, inte generellt och utan åtskillnad samla in personuppgifter, utan måste avstå från att samla in uppgifter som inte är absolut nödvändiga med hänsyn till ändamålet med behandlingen av dessa uppgifter. Nödvändighetskriteriet ska ses mot bakgrund av att undantag och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är absolut nödvändigt.
Samtidigt följer av praxis att nödvändighetskriteriet kan anses uppfyllt om det bidrar till effektivisering, vilket även framhölls i förarbetena till den svenska dataskyddslagen. Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i GDPR enligt vilken personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. (Prop. 2017/18:105 s. 46 och DI-2021-5774)
Själva intresseavvägningen där behovet av kamerabevakning (bevakningsintresset) vägs mot den enskildes intresse av att inte bli bevakad (integritetsintresset) beskrivs i steg 4 i arbetsgången.
Alla förutsättningar i de fyra delarna måste vara uppfyllda för att kamerabevakningen ska kunna ske med stöd av 6.1 e i GDPR.
Intresseavvägning (6.1 f)
Bedömningen för den här rättsliga grunden består av tre delar:
Bedöm om det finns ett berättigat intresse.
Bedöm om kamerabevakningen är nödvändig för att uppnå det berättigade intresset.
Gör en intresseavvägning.
Alla förutsättningar i de tre delarna måste vara uppfyllda för att kamerabevakningen ska kunna ske med stöd av artikel 6.1 f i GDPR.
Ni behöver först bedöma om ni har ett berättigat intresse att kamerabevaka. För att intresset ska anses berättigat ska det normalt sett;
inte strida mot lag eller EU rätt,
vara tydligt och precist, och
vara ett faktiskt intresse, och inte fiktivt eller spekulativt vid tidpunkten för personuppgiftsbehandlingen.
Att skydda egendom, hälsa och liv kan utgöra ett berättigat intresse för kamerabevakning, under förutsättning att det är fråga om ett faktiskt intresse och inte ett intresse som är fiktivt eller spekulativt vid tidpunkten för personuppgiftsbehandlingen. (EDPB:s riktlinjer 3/2019 punkt 20). Detta innebär i regel att det måste ha inträffat brott eller andra incidenter som gör att det föreligger ett konkret bevakningsbehov. Ni behöver därför granska de händelser som har skett på platsen för att kunna avgöra huruvida ni har ett berättigat intresse av att bedriva kamerabevakning.
Att kamerabevaka ”för samhällets bästa” är inte ett tillräckligt tydligt och precist intresse för att det ska kunna anses berättigat. (EDPB:s riktlinjer 1/2024 s. 9)
Ni behöver analysera om behandlingen är nödvändig för att uppnå det berättigade intresset. Ni bör då ta hänsyn till följande faktorer:
Andra alternativ till kamerabevakning
Begränsa bevakningen i tid och rum
Realtidsbevakning och/eller bildinspelning
Andra alternativ till kamerabevakning
Ni behöver ta ställning till om det finns andra lika effektiva sätt att uppnå det berättigade intresset som i mindre utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter. Finns det andra alternativa åtgärder till kamerabevakning, exempelvis bättre belysning, väktare eller larmsystem, som skulle kunna prövas före kamerabevakning? Om det finns rimliga, lika effektiva, men mindre ingripande alternativ, så kan kamerabevakning inte anses nödvändig. (EDPB:s riktlinjer 1/2024 punkt 29)
Begränsa bevakningen i tid och rum
En del av bedömningen av bevakningens nödvändighet är att se till att bevakningen begränsas i tid och rum. Det är för att ni ska uppfylla den grundläggande principen om uppgiftsminimering i GDPR. Principen innebär att personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.
Ni kan behöva analysera de händelser som har skett på platsen för att avgöra var någonstans och när i tid som incidenter har inträffat. När det gäller var bevakning ska ske kan ni fundera över om hela det tänkta området behöver bevakas, eller om det är tillräckligt att en mindre yta bevakas. Om det bara är en viss yta som är drabbad av brott behöver kanske inte omkringliggande ytor bevakas. Exempelvis kan det i vissa fall vara tillräckligt att bevaka en entré och inte hela utrymmet inomhus.
När det gäller tiden för bevakningen kan ni fundera över om det behövs bevakning hela dygnet, eller om bevakningen kan begränsas till vissa tider då få eller inga personer ska vistas på platsen. Om brott främst sker nattetid finns det normalt bara ett behov av bevakning på natten. Bedömningen kan leda till att ni behöver begränsa er kamerabevakning i tid och rum för att den ska anses förenlig med principen om uppgiftsminimering.
Realtidsbevakning och/eller bildinspelning
Kamerabevakning kan genomföras med realtidsbevakning och/eller bildinspelning. Realtidsbevakning innebär att det finns en möjlighet att titta på kamerabilderna på en monitor medan bevakningen pågår. Bildinspelning innebär att ni spelar in och sparar kameramaterialet en viss tid.
Vilken typ av kamerabevakning är nödvändig för att uppnå ert syfte med bevakningen? Bildinspelning innebär i regel ett större integritetsintrång än att bevaka i realtid och bör därför användas med större försiktighet. Ett mer integritetsvänligt alternativ är att endast bevaka med bildinspelning vid exempelvis aktiverat inbrotts- eller överfallslarm. Om ert syfte med bevakningen är att förebygga, förhindra och upptäcka ordningsstörningar eller att säkerställa att endast behöriga personer ges tillträde till en lokal kan detta ofta tillgodoses genom enbart realtidsbevakning.
Själva intresseavvägningen där behovet av kamerabevakning (bevakningsintresset) vägs mot den enskildes intresse av att inte bli bevakad (integritetsintresset) beskrivs i steg 4 i arbetsgången.
Alla förutsättningar i de tre delarna måste vara uppfyllda för att ni ska ha rättslig grund för er kamerabevakning.
Nästa steg
Om ni kommer fram till att förutsättningarna i steg 3 är uppfyllda ska ni gå vidare till steg 4 i arbetsgången och göra en intresseavvägning, där ni ska väga bevakningsintresset mot integritetsintresset. Om förutsättningarna i steg 3 och 4 är uppfyllda så har ni rättslig grund för er kamerabevakning.
Om ni kommer fram till att förutsättningarna i steg 3 och 4 inte är uppfyllda så behöver ni se över om ni kan använda någon annan rättslig grund, eller om ni behöver begränsa er kamerabevakning. Det kan till exempel avse vilken tid eller område som ska kamerabevakas eller genom användning av integritetsvänlig teknik.
Tillståndsplikten upphör, men nya krav införs på främst offentliga aktörer som behöver ha en förteckning över all bevakning och dokumentera sin intresseavvägning.
