GDPR-överträdelser vid kameraövervakning: så blir följderna av misstag
Kameraövervakning hör till standarden i moderna säkerhetskoncept. Företag skyddar därmed byggnader, produktionsanläggningar, lagerytor eller butikslokaler mot stöld, skadegörelse och sabotage. Men det regulatoriska trycket växer: verksamhetsutövare måste säkerställa att deras kameraövervakning uppfyller kraven i dataskyddsförordningen (GDPR) och den tyska federala dataskyddslagen (BDSG). Fel vid planering, installation eller drift kan inte bara orsaka klagomål och skadat anseende, utan också leda till betydande sanktionsavgifter.
Just vid kameraövervakning i Tyskland uppstår ofta ett spänningsfält mellan säkerhetsintresset och personlighetsrättigheterna. Varje videoinspelning av personuppgifter griper nämligen potentiellt in i de registrerades rättigheter.
Rättsliga grunder: när är kameraövervakning tillåten?
I dataskyddsrätten gäller i grunden ett ”förbud med tillståndsförbehåll”. Behandling av personuppgifter är till att börja med förbjuden om det inte finns någon rättslig grund. Så snart personer är identifierbara på inspelningarna – exempelvis genom ansikte, kläder eller registreringsskyltar – rör det sig om personuppgifter.
I praktiken stöder verksamhetsutövare oftast sin kameraövervakning på:
- Art. 6.1 f GDPR (”berättigat intresse”)
- § 4 BDSG vid allmänt tillgängliga utrymmen
- i enskilda fall på samtycke enligt art. 6.1 a GDPR
Den viktigaste grunden för kommersiella verksamhetsutövare är art. 6.1 f GDPR. Enligt den är en behandling tillåten om den är nödvändig för att tillvarata berättigade intressen och inga överväldigande intressen hos de registrerade talar emot.
Typiska berättigade intressen
- Skydd mot inbrott och stöld
- Utövande av husrätten
- Skydd av medarbetare
- Bevissäkring vid brott
- Säkring av kritisk infrastruktur
Verksamhetsutövarens skyldigheter: vad måste beaktas?
Verksamhetsutövare måste inte bara kunna visa en tillåten rättslig grund, utan också uppfylla omfattande informations-, dokumentations- och skyddsskyldigheter. Många överträdelser av GDPR uppstår inte genom kameran i sig, utan genom bristande transparens eller undermåliga organisatoriska processer.
Transparenskrav enligt art. 12 och 13 GDPR
De registrerade måste redan innan de beträder det övervakade området kunna se att kameraövervakning förekommer. Till den obligatoriska informationen hör i synnerhet:
- Personuppgiftsansvarig: Företagets namn och kontaktuppgifter
- Ändamålet med övervakningen: Konkret angivelse som ”stöldförebyggande” eller ”skydd mot skadegörelse”
- Rättslig grund: oftast art. 6.1 f GDPR eller § 4 BDSG
- Lagringstid: exempelvis ”lagring i 72 timmar” eller ”automatisk radering efter tre dygn”
- De registrerades rättigheter: rätt till tillgång, radering och invändning
Skyltar: obligatoriska uppgifter för verksamhetsutövare
Den klassiska kameraskylten förblir en central del av GDPR-anpassad kameraövervakning. Den måste placeras så att personer uppmärksammar övervakningen innan de beträder det övervakade området.
Typiska obligatoriska uppgifter på en GDPR-anpassad skylt är:
- väl synlig kamerasymbol
- den personuppgiftsansvariges namn
- konkret ändamål med övervakningen
- kontaktuppgifter
- hänvisning till utförlig dataskyddsinformation
Många företag använder dessutom QR-koder eller korta webbadresser där de registrerade kan hämta fullständig dataskyddsinformation.
Lagringstider och tekniska krav
GDPR föreskriver i artikel 5.1 e principen om lagringsminimering. Personuppgifter får bara lagras så länge det är nödvändigt för respektive ändamål. I praktiken används ofta lagringstider på 48 till 72 timmar som riktvärde. Någon fast lagstadgad frist finns dock inte.
Längre lagringstider måste motiveras på ett spårbart sätt, exempelvis genom helgregler, helgdagar eller särskilda säkerhetsrisker. Viktigt är en dokumenterad raderingsrutin med automatisk överskrivning eller fasta raderingskoncept.
Var får kameror installeras?
Alla områden får inte övervakas. Kameraövervakning är regelmässigt otillåten i sanitetsutrymmen, omklädningsrum, pausrum eller sov- och vilozoner. Här väger de registrerades personlighetsrättigheter nästan alltid tyngre.
I entréområden, parkeringshus eller butiksytor är kameraövervakning i princip möjlig, om den är nödvändig och sker transparent. Kamerorna får bara täcka det område som faktiskt är nödvändigt.
Särskilda förhållanden vid kroppskameror
Kroppskameror används alltmer inom olika områden. Deutsche Bahn använder kroppskameror hos tågpersonal och säkerhetspersonal för att skydda medarbetarna i konfliktfyllda situationer. Kamerorna aktiveras därvid i regel endast vid särskild anledning.
Även inom hälso- och sjukvården prövas kroppskameror: Klinikum Dortmund testar exempelvis användning på akutmottagningar för att skydda medarbetarna mot övergrepp. Användningen är frivillig och aktiveras endast i konkreta konfliktsituationer – inte under behandlingar eller förtroliga samtal.
Rättsligt regleras användningen av privata säkerhetsföretag samt inom många civila områden av kraven i GDPR och BDSG. Som rättslig grund kommer ofta art. 6.1 f GDPR (berättigat intresse) i fråga, men den omfattas av stränga krav på proportionalitet, ändamålsbegränsning och transparens.
Praktiska tips för ett GDPR-anpassat genomförande
För en rättssäker kameraövervakning bör verksamhetsutövare beakta följande steg:
- Dokumentera intresseavvägningen: Är övervakningen verkligen nödvändig? Finns det mindre ingripande medel?
- Tvåstegsmodell för information: Kompakt skylt på plats och utförlig dataskyddsinformation via QR-kod
- Automatiska raderingsrutiner: Inför fasta raderingskoncept
- Använd integritetsfunktioner: Använd privacy masking eller maskeringsfunktioner
- För dokumentation: Håll registret över behandlingar uppdaterat
Utblick: växande efterlevnadskrav
Det regulatoriska trycket på dem som bedriver kameraövervakning ökar kontinuerligt. Dataskyddsmyndigheterna ser alltmer till om processerna har dokumenterats på ett spårbart sätt. I vissa fall krävs en konsekvensbedömning avseende dataskydd, i synnerhet vid storskalig övervakning av allmänt tillgängliga områden eller vid intelligent videoanalys.
Företag bör därför tidigt anlita juridisk rådgivning och regelbundet pröva sina kameraövervakningskoncept mot GDPR. En omsorgsfull planering förhindrar dyra kompletteringar och sanktionsavgifter.
