I løpet av starten av 2021 har Datatilsynet fattet fire vedtak relatert til ulovlig kameraovervåkning og deling av opptak fra kameraovervåkning. I denne artikkelen skal vi se nærmere på hva Datatilsynet har reagert på i sine vedtak og hvordan virksomhetene i lys av disse vedtakene kan sørge for at kameraovervåkningen og deling av opptak skjer i samsvar med personvernregelverket.

Hvilke regler har vi om kameraovervåkning?

Det finnes ikke noe generelt forbud mot kameraovervåkning i norsk rett. Enhver har likevel rett til respekt for sitt privatliv og hjem etter både Grunnloven og straffeloven. GDPR vil dessuten komme til anvendelse der kameraovervåkningen fanger opp personer. I tillegg er det oppstilt egne krav for kameraovervåkning av ansatte i en forskrift til arbeidsmiljøloven.

Retten til privatliv og krav til berettiget interesse

Kameraovervåkning av det offentlige rom eller annens private eiendom vil som en hovedregel kunne utgjøre et brudd på den enkeltes rett til privatliv. I tillegg vil kameraovervåkning, eller deling av slike opptak, kunne involvere behandling av personopplysninger dersom kameraet fanger opp identifiserte eller identifiserbare personer. I slike tilfeller må den som overvåker ha et behandlingsgrunnlag i GDPR artikkel 6 for at behandlingen skal være lovlig. Dersom overvåkingen går ut på å samle inn sensitive personopplysninger, for eksempel ved at stedet man overvåker er uløselig knyttet til sensitive forhold, gjelder enda strengere regler.

Mest aktuelt i denne sammenhengen er berettiget interesse etter GDPR artikkel 6 nr. 1 bokstav f. Bestemmelsen gir rettslig grunnlag for å behandle personopplysninger dersom det er nødvendig for å ivareta en berettiget interesse som veier tyngre enn hensynet til den enkeltes personvern.

Tre kumulative vilkår må være oppfylt. Kameraovervåkningen eller behandlingen av kameraopptak må for det første være for et formål knyttet til virksomhetens berettigede interesse. Videre må kameraovervåkingen være et nødvendig tiltak for å ivareta den berettigede interessen. Dette innebærer at det ikke må finnes andre mindre personverninngripende tiltak som kan oppnå det formålet. Til sist må det foretas en interesseavveining mellom virksomhetens berettigede interesser på den ene siden og hensynet til individenes rett til personvern på den andre.

Datatilsynet har hittil i år drøftet kravet til berettiget interesse i fire saker om kameraovervåkning. I alle sakene kom Datatilsynet til at det forelå brudd på GDPR.

Deling av opptak fra butikk

14. januar 2021 ble en butikkjede ilagt et gebyr på 400 000 kr fordi en ansatt delte et opptak fra butikkens overvåkningskamera med en privatperson. Opptaket viste et barn som nasket.

Datatilsynet uttalte at selv om butikken hadde interesse i å oppklare lovbruddet, kunne denne interessen oppfylles ved å anmelde forholdet til politiet. Datatilsynet stilte derfor spørsmål ved om deling av opptaket var nødvendig for å forfølge butikkens interesse.

Dessuten ble det lagt vekt på at allmennheten har en rimelige forventning om at opptak fra butikker ikke blir delt med andre. En slik deling vil kunne føre til en «offentlig gapestokk». Det var også av skjerpende betydning at de avbildede var barn. Datatilsynet konkluderte derfor med at de avbildedes personvern veide tyngre enn butikkens interesse i å dele opptaket.

Overvåkning av bysentrum

25. mars 2021 ble et selskap ilagt et gebyr på 150 000 kr for kameraovervåking av Rognan sentrum med direkteoverføring til internett. Formålet var å gi innbyggerne et servicetilbud. I tillegg fungerte kameraet som en trygghet for innbyggerne, siden opptak kunne utleveres til politiet.

Selv om kameraet stod for langt unna til å identifisere enkeltpersoner, utgjorde kameraovervåkningen likevel en behandling av personopplysninger, ettersom man kunne kjenne igjen biler, klær og andre karakteristikker.

Datatilsynet la til grunn at det var tvilsomt om kameraovervåkningen hadde noe berettiget formål. I Det europeiske personvernrådets retningslinjer for kameraovervåkning er det riktignok lagt til grunn at beskyttelse mot tyveri, vandalisme og kriminelle handlinger kan utgjøre en berettiget interesse. Dette forutsetter imidlertid at virksomheten påviser at faren er reell, og ikke kun basert på spekulasjon.

Etter Datatilsynets vurdering var det uklart om det forelå noen reell fare for kriminelle handlinger der kameraet var plassert. Datatilsynet vurderte det også slik at kameraovervåkningen kunne ha vært utformet på mindre personverninngripende måter, for eksempel ved å begrense overvåkningen til tider av døgnet hvor kriminelle handlinger typisk skjer. Det var derfor tvilsomt om overvåkningen oppfylte kravet om nødvendighet. Datatilsynet uttalte videre at de overvåkedes personvern uansett gikk klart foran interessen i å tilby et servicetilbud til innbyggerne.

Deling av opptak med arbeidsgiver

9. april 2021 ble en virksomhet ilagt et gebyr på 35 000 kr. Virksomheten hadde gjennom kameraovervåkning fanget opp en person begå hærverk på virksomhetens eiendom. Dette kameraopptaket delte virksomheten med arbeidsgiveren til personen de mente stod bak hærverket.

Datatilsynet la vekt på at delingen med arbeidsgiver var unødvendig for formålet om forebygging og oppklaring av hærverk, blant annet fordi opptakene allerede var oversendt til politiet. Videre ble det vektlagt at slik deling vil oppleves som en personlig belastning for den som er mistenkt for en straffbar handling.

Overvåkning av restaurantlokale

21. april 2021 ble en restaurant ilagt et gebyr på 200 000 kr for kameraovervåkning av bl.a. sitteområder i restauranten.

Datatilsynet vurderte det slik at overvåkningskameraene filmet mer av restaurantens lokaler enn nødvendig, og at det ikke var nødvendig med døgnkontinuerlig kameraovervåkning.

I interesseavveiningen la Datatilsynet vekt på at gjester generelt må sies å ha en berettiget forventning om å ikke bli filmet i restaurantens sitteområder der det foregår sosialt samvær. På områder som brukes til avslapning, rekreasjon og sosialt samvær, må hensynet til personvernet veie tungt. I tillegg la Datatilsynet vekt på de ansattes rett til personvern på jobb. Interesseavveiningen gikk derfor i personvernets favør.

Datatilsynet fant det også skjerpende at virksomheten ikke ga god nok informasjon om overvåkingen, samt at virksomheten ikke hadde gode nok skriftlige rutiner.

Virksomheter må vurdere sin kameraovervåkning

Avgjørelsene sender et tydelig signal om at virksomheter som i dag benytter seg av kameraovervåkning bør foreta en grundig vurdering av om vilkårene i GDPR artikkel 6 nr. 1 bokstav f er oppfylt.

Før man starter med, eller fortsetter å benytte seg av, kameraovervåkning eller utleverer opptak til tredjeparter, bør man stille spørsmål ved om interessene i behandlingen av opptakene er tungtveiende nok. Videre bør man vurdere om disse interessene kan oppnås på mindre personverninngripende måter, for eksempel ved å begrense området som overvåkes eller tidspunktet for kameraovervåkningen. Disse vurderingene må dokumenteres.

I tillegg må virksomheten ha gode og skriftlige rutiner for kameraovervåkningen, herunder om jevnlig sletting av opptak og rutiner for utlevering av opptak til tredjeparter. Virksomheten må også sørge for at de som blir overvåket får tydelig beskjed om dette, både gjennom skilting og i virksomhetens personvernerklæring.

For å sikre at personvernrisikoen reduseres så mye som mulig bør virksomheten også vurdere å gjennomføre en personvernkonsekvensvurdering etter GDPR artikkel 35.

Artikkelen ble først publisert i Lovdata 10. juni 2021.

Nyhetsbrev og invitasjoner