Tillsyn enligt personuppgiftslagen (1998:204) Kameraövervakning vid IKEA Svenska Försäljnings AB i Kållered

Transkript

1 Datum Diarienr IKEA Svenska Försäljnings AB Box Ödåkra Tillsyn enligt personuppgiftslagen (1998:204) Kameraövervakning vid IKEA Svenska Försäljnings AB i Kållered Datainspektionens beslut Datainspektionen konstaterar att kameraövervakningen på IKEA Svenska Försäljnings AB:s (IKEA) fastighet i Kållered är förenlig med 5 a andra stycket personuppgiftslagen med följande undantag. Kameraövervakningen som sker med den kamera som sitter på en stolpe och som är riktad mot varuintaget på inhägnat område är inte förenlig med bestämmelsen i 5 a andra stycket personuppgiftslagen. Datainspektionen förelägger därför IKEA att upphöra med denna kameraövervakning. Vidare förutsätter Datainspektionen att IKEA vidtar åtgärder för att skydda servrarna samt vidtar de åtgärder som bolaget själv aviserat: IKEA har konstaterat att avtal om säkerhet ska upprättas med IKEA:s personuppgiftsbiträden IKEA har konstaterat att riktlinjer för kameraövervakning ska uppdateras Ärendet avslutas, men kan komma att följas upp. Redogörelse för tillsynsärendet Den 24 september 2010 inspekterade Datainspektionen IKEA:s personuppgiftsbehandling genom kameraövervakning på platser dit allmänheten inte har tillträde på bolagets fastighet i Kållered. Postadress: Box 8114, Stockholm E-post: datainspektionen@datainspektionen.se Besöksadress: Drottninggatan 29, plan 5 Telefon: Webbplats: Telefax:

2 På den aktuella fastigheten har bolaget 48 övervakningskameror varav 12 kameror riktar sig till platser dit allmänheten inte har tillträde. Den första övervakningskameran installerades i augusti Därefter har kameror installerats löpande i enlighet med de centrala riktlinjer som har utfärdats inom IKEA och som gäller för samtliga varuhus. Där framgår bland annat att en lokal samverkan ska genomföras och dokumenteras med respektive fackförbund när en kamera ska installeras eller flyttas (oavsett kameratyp) samt att alla synliga kameror ska ha en standardskylt väl synlig som visar att området är kameraövervakat. Alla kameror som riktas mot platser dit allmänheten inte har tillträde är synliga, har fast optik och har inga zoommöjligheter. Inspelningen är rörelsestyrd och kamerorna är avstängda nattetid. Det sker ingen ljudinspelning. Inspelningarna sparas på två egna servar. Servrarna är placerade i ett rum där varuhusets personal passerar när de använder sig av personalingången. Dörren till hallen brukar vara öppen. Om dörren inte är öppen krävs dock kod för att komma in. Dataskärmen där inspelat material granskas är vinklad bort från hallen. Det finns inget skydd mot insyn eller utrustning som skyddar servrarna eller skärmen. För att kunna logga in i bildvisningsprogrammet behöver man användarnamn och lösenord. Servrarna är inte kopplade till något nätverk eller internet. Inspelningarna gallras beroende av vilken server som används efter antingen 21 dagar eller 30 dagar. Gallringen sker automatiskt. Av personalen har 4 personer på bolaget åtkomst till inspelat material. De övergripande syftena med kameraövervakningen uppges vara att skydda personal och att skydda egendom. Bakgrunden till att installera övervakningskameror är dels incidenter som inträffat på varuhuset i Kållered men även incidenter som inträffat på andra varuhus inom IKEA. Inom IKEA finns ett högt säkerhetstänk och kameraövervakning är tänkt som en förebyggande åtgärd och komplement till andra åtgärder. Under de två senaste åren har inte inspelning från någon av kamerorna som riktar sig dit allmänheten inte har tillträde behövt användas skedde ett rån på varuhuset. Bolaget informerar om kameraövervakningen genom skyltning vid infarter, portar och vid områden som kameraövervakas. Personalen informeras dessutom genom utbildning, genom företagets tidning och säkerhetsfolder samt även genom information på varuhusets interna anslagstavlor. Sida 2 av 10

3 Detta tillsynsärende omfattar tolv övervakningskameror, varav fem kameror i kassahanteringsrum (banken) och förrummen till detta, en kamera på en stolpe som är riktad mot ett varuintag, en kamera vid en lastkaj vid restaurang, en kamera riktad mot containrar samt fyra kameror riktade mot varuintag. Under inspektionen fann vi två kameror som faller under lagen om allmän kameraövervakning. En kamera sitter utanför ett varuintag till en av restaurangerna på ett område som inte är inhägnat och kameran fångar en plats dit allmänheten har tillträde. Den andra kameran finns på inhägnat område riktad mot en körgrind. För dessa två kameror har bolaget enligt egen uppgift tillstånd från Länsstyrelsen enligt lagen om allmän kameraövervakning. Närmare information om vad som framkommit i ärendet och legat till grund för Datainspektionens bedömning framgår av skälen för beslutet. Tillämpliga rättsregler m.m. I lagen (1998:150) om allmän kameraövervakning finns bestämmelser om användning av övervakningsutrustning allmän kameraövervakning. De flesta av bestämmelserna i den lagen gäller dock inte övervakning av plats dit allmänheten inte har tillträde. När det rör sig om övervakning av en sådan plats genom automatiserad behandling av personuppgifter är däremot personuppgiftslagens regler tillämpliga. Exempel på platser dit allmänheten inte har tillträde är bl.a. inomhus i skolor, i personalutrymmen på arbetsplatser och i flerfamiljshus. De övervakningskameror som omfattas av detta tillsynsärende är riktade mot platser dit allmänheten inte har tillträde. Vid bildupptagningen används digital teknik som medger att enskilda personer kan identifieras. Den del som inspekterats av IKEA:s övervakning utgör således sådan automatiserad behandling av personuppgifter som faller under personuppgiftslagen. Samtidigt ska uppmärksammas att vissa grundläggande bestämmelser i lagen om allmän kameraövervakning även gäller vid sådan övervakning som omfattas av personuppgiftslagen. 3 lagen om allmän kameraövervakning är exempelvis tillämplig även då övervakningen avser en plats dit allmänheten inte har tillträde. Upplysning om kameraövervakning ska enligt bestämmelsen normalt lämnas genom tydlig skyltning eller på något annat verksamt sätt. Upplysningsplikten är straffsanktionerad. När det gäller kameraövervakning inom detaljhandel kan det även vara intressant att uppmärksamma följande gällande lagen om allmän kameraövervakning. Enligt lagen om allmän kameraövervakning är det under vissa förutsätt- Sida 3 av 10

4 ningar tillåtet att på vissa, i lagen utpekade, platser sätta upp en övervakningskamera efter endast en anmälan (11 och 12 ). Det gäller platser där lagstiftaren har bedömt att det generellt finns ett starkt intresse av att kunna använda övervakningsutrustning. Banklokaler och butikslokaler har ansetts vara sådana platser där det finns ett särskilt övervakningsintresse. För att övervakning efter anmälan ska vara möjlig krävs att övervakningen har till enda syfte att förebygga eller avslöja brott samt att övervakningskameran är fast monterad och försedd med fast optik. Övervakning får ske av hela butiken men endast bilder av kassaområdet samt in- och utgångar får spelas in och bevaras. I förarbeten till lagen om allmän kameraövervakning anförs att det finns ett beaktansvärt behov av att förenkla kameraövervakningen inom detaljhandeln, inte minst på grund av den stöld- och rånbrottslighet som den är utsatt för. (prop. 1997/98:64 Lag om allmän kameraövervakning sid. 35 f.) Vidare anförs i betänkandet En ny kameraövervakningslag (SOU 2009:87 sid. 211 f.) att det är uppenbart att det finns ett starkt övervakningsintresse i många butiker. Även om inte stöld och snatteri kan anses höra till de allra allvarligaste brotten innebär den stora mängden brott allvarliga konsekvenser för många näringsidkare. Enligt betänkandet är detaljhandelns erfarenhet att kameraövervakning fungerar brottsförebyggande. När är kameraövervakning tillåten enligt personuppgiftslagen? De i ärendet behandlade personuppgifterna har inte bearbetats eller strukturerats på ett sätt för att påtagligt underlätta sökning efter eller sammanställningar av personuppgifter. Datainspektionen bedömer därför att personuppgiftsbehandlingen som sker genom kameraövervakningen är att betrakta som ostrukturerad i den mening som avses i 5 a första stycket personuppgiftslagen. Av 5 a andra stycket personuppgiftslagen följer att kameraövervakningen inte får utföras om den innebär en kränkning av de övervakades personliga integritet. Enligt förarbetena ligger det i sakens natur att tillämpningen av bestämmelsen i 5 a får bygga på en intresseavvägning där den övervakades intresse av en fredad, privat sfär vägs mot andra motstående intressen i det enskilda fallet (prop. 2005/06:173 s. 26 f.). Som regeringen också framhåller är det i slutändan en fråga för rättstillämpningen att i varje enskilt fall, med beaktande av samtliga omständigheter, väga det intrång som kan ha skett i den personliga integriteten. Bedömningen ska göras på ett sätt som inte kommer i strid bland annat med varje människas rätt till respekt för sitt privatliv i enlighet med artikel 8 i Europakonventionen. Artikel 8 stadgar att rätten till respekt för privatliv inte får inskränkas annat än om det i ett demokratiskt samhälle är nödvän- Sida 4 av 10

5 digt med hänsyn till vissa angivna motstående intressen. Inskränkningar i integritetsskyddet får göras endast om det motstående intresse som ska tillgodoses är så starkt och integritetsskyddsintresset så förhållandevis svagt att inskränkningen framstår som proportionerlig. Detta innebär att det krävs starka skäl för att en kameraövervakning ska vara motiverad och förenlig med personuppgiftslagen. Ovanstående medför att bedömningen av om kameraövervakning i det enskilda fallet är kränkande enligt 5 a andra stycket personuppgiftslagen, bland annat innefattar en proportionalitetsbedömning. Vid proportionalitetsbedömningen ska avgöras om kameraövervakningen och den till övervakningen kopplade personuppgiftsbehandlingen är proportionerlig i förhållande till sitt ändamål (exempelvis att förhindra stöld) och till de övervakades intresse av en fredad och privat sfär och det intrång i denna sfär som övervakningen innebär. Man ska således fråga sig om övervakningen verkligen är påkallad i förhållande till de problem som man söker komma till rätta med och om den är rimlig med hänsyn till de konsekvenser den har för enskildas personliga integritet. Enkelt uttryckt kan man säga att om resultatet av den bedömningen är att övervakningen inte är rimlig med hänsyn till integritetsintrånget så är kameraövervakningen att betrakta som kränkande. I proportionalitetsbedömningen bör bl.a. vägas in om ändamålen i stället kan uppnås med andra åtgärder som innebär ett mindre intrång i den personliga integriteten och dessa alternativa åtgärder inte skulle innebära orimligt höga kostnader i förhållande till ändamålen. Sammanfattningsvis anser Datainspektionen att frågan om huruvida kameraövervakning i det enskilda fallet är kränkande enligt 5 a andra stycket personuppgiftslagen, måste avgöras genom en bedömning av bland annat följande faktorer: Ändamålen med kameraövervakningen. Behovet av kameraövervakningen - vilka konkreta problem det finns? - var och när uppstår dessa problem, samt - i vilken omfattning uppstår respektive problem? Graden av integritetsintrång, vilken bl.a. avgörs av - vem som övervakas - vilken plats som övervakas samt - när övervakningen sker. Sida 5 av 10

6 Om ändamålen i stället kan uppnås med andra åtgärder som innebär ett mindre integritetsintrång och dessa alternativa åtgärder inte skulle innebära orimligt höga kostnader i förhållande till ändamålen. Om det finns fackliga överenskommelser rörande kameraövervakningen på arbetsplatsen. Vilken information som ges till de registrerade om att platsen är kameraövervakad. Hur länge det inspelade materialet sparas. Vem eller vilka som har tillgång till det inspelade materialet. På vilka grunder man får ta del av bilder i realtid och inspelat material. Även andra faktorer än ovan nämnda kan naturligtvis i det enskilda fallet visa sig vara av betydelse för bedömningen. Datainspektionen anser att ett införande av kameraövervakning bör föregås av en analys i enlighet med ovanstående. Skäl för beslutet I ärendet har Datainspektionen att bedöma om kameraövervakning av platser dit allmänheten inte har tillträde på IKEA:s anläggning i Kållered är förenlig med bestämmelserna i personuppgiftslagen. I ärendet har framkommit att det inom IKEA:s organisation finns ett högt säkerhetstänk och kameraövervakningen är tänkt som en förebyggande åtgärd och komplement till andra åtgärder. Kameraövervakning i anslutning till kassahanteringsrum m.m. I utrymmet finns 5 kameror i kassahanteringsrum (banken) och förrummen till detta. I ett av förrummen, kassakontoret, finns anställdas arbetsplatser samt en sittgrupp och visst förvaringsutrymme. Mellan kassakontoret och banken finns en sluss. Innanför banken finns ett kassaräkningsrum. Syftet med kamerorna som täcker kassakontoret och kameran i slussen är att personal som befinner sig i banken eller slussen ska kunna se vem som är på väg in. Efter rånet år 2005 gjordes en översyn och personalen var även med i denna process när det bestämdes att området skulle kameraövervakas. Lokalen har även byggts om vid två tillfällen. Personalen uppges vara positiv till kameraövervakningen. För kamerorna som riktas mot de stationerade växelkassorna finns även syftet att om det skulle uppstå några problem kring vem som lämnat vilken växelkassa, kan man gå tillbaka och titta på inspelat material. Datainspektionen gör följande bedömning Vi finner inte skäl att ifrågasätta ert behov av kameraövervakningen i detta utrymme särskilt med hänsyn till att butikslokaler i allmänhet anses vara så- Sida 6 av 10

7 dana platser där det finns ett särskilt övervakningsintresse. Kassahanteringsrummet och anslutande rum måste anses som platser där det finns en särskild risk för att utsättas för rån. IKEA Kållered har tidigare utsatts för ett väpnat rån då rånarna försökte angripa de utrymmen där kassorna hanteras. Under inspektionen kom det fram att under de senaste två åren har inspelning från någon av kamerorna, som riktar sig dit allmänheten inte har tillträde, inte behövt användas. Detta gör att det kan ifrågasättas om kamerorna är nödvändiga. Detta får då vägas mot den omständigheten att lokaler i den här typen av varuhus typiskt sett kan vara platser som utsätts för rån eller stöld och det kan därför finnas ett särskilt behov av kameraövervakningen. Vidare kan det finnas ett starkt intresse även hos de anställda att kameraövervakning sker på platser där det finns risk att utsättas för brott. Ni har vidare uppgett att personalen är positiv till kameraövervakningen. De anställda har varit involverade i uppsättandet av kameror och det finns en facklig överenskommelse rörande kameraövervakningen på arbetsplatsen. Personalen har fått information om kameraövervakningen och alla fem kameror är synliga. De personer som vistas i utrymmena kan därmed antas vara medvetna om att de övervakas. Övervakningskameror bör placeras på ett sådant sätt så att de inte registrerar mer än vad som behövs för det avsedda syftet. Kamerorna riktar sig, i detta utrymme, inte mot den yta som personalen uppehåller sig på till största del vilket är en omständighet som måste vägas in i bedömningen. Mot bakgrund av tidigare angivna tillämpliga rättsregler gör Datainspektionen den samlade bedömningen att övervakningen med dessa kameror är förenlig med bestämmelsen 5 a andra stycket personuppgiftslagen. Kamera på stolpe riktad mot varuintag Kameran är monterad på en stolpe och riktas mot ett tidigare vanligen använt varuintag och en uteplats med sittgrupp där personalen kan sitta och äta. Numera tas endast ett fåtal varor (exempelvis påfyllning till dryckesautomater) in den vägen och servicepersonal använder sig ibland av denna ingång. Syftet med kameran är att skydda området mot att obehöriga kan komma in. Datainspektionen gör följande bedömning Kameran är synlig och personalen har fått information om kameraövervakningen. Förutom att en del varor kan komma in den vägen använder sig servicepersonalen av denna ingång och fångas således av kameran. Mot bakgrund av att varuintaget inte används i lika stor utsträckning som tidigare har behovet av kameraövervakningen minskat. IKEA har inte heller i Sida 7 av 10

8 övrigt visat att det skulle föreligga ett påtagligt behov som uppväger det intrång i den personliga integriteten som kameraövervakning innebär. Kameraövervakning på platser där personalen kan sitta och äta eller dylikt innebär även generellt sett ett avsevärt intrång i personalens personliga integritet. Vid en samlad bedömning, anser Datainspektionen att övervakningen med denna kamera inte är förenlig med 5 a andra stycket personuppgiftslagen. IKEA ska därför föreläggas att upphöra med denna kameraövervakning. Kamera vid lastkaj vid restaurang Kamera är riktad mot en lastkaj samt mot en bit av inhägnat området utanför ett varuintag. Syftet med kameran är att skydda området mot att obehöriga kan komma in. Datainspektionen gör följande bedömning Enligt IKEA:s riktlinjer för kameraövervakning inom IKEA:s varuhus i Sverige är syftet med kameraövervakning att motverka att personal och byggnad utsätts för risker som rån, hot, intrång och sabotage. Det finns information om att området är kameraövervakat och kameran är synlig. Det har enligt era uppgifter inte skett några incidenter i området vilket är en omständighet som gör att man kan ifrågasätta behovet av kameran. Detta får då vägas mot den omständigheten att lokaler i den här typen av varuhus, typiskt sett kan vara platser som utsätts för rån eller stöld och det kan därför finnas ett särskilt behov av kameraövervakningen. Vidare kan det finnas ett starkt intresse även för anställda att kameraövervakning sker på platser där det finns risk att utsättas för brott. Mot bakgrund av tidigare angivna tillämpliga rättsregler gör Datainspektionen den samlade bedömningen att denna kameraövervakning är förenlig med bestämmelsen 5 a andra stycket personuppgiftslagen. Datainspektionen vill emellertid uppmana er att kontinuerligt utvärdera om denna kamera är nödvändig. Kamera riktad mot containrar IKEA har vid flera tillfällen haft problem med att obehöriga personer tagit sig in i det inhägnade området på baksidan av varuhuset för att leta efter saker i de containrar som kameran är riktad mot. Datainspektionen gör följande bedömning Ett visst behov av kameraövervakningen som sker genom denna kamera har alltså konstaterats även om det är tveksamt om det kan räcka för att uppväga Sida 8 av 10

9 det integritetsintrång som kameraövervakning innebär. Den personal som vistas på platsen har uppgivits göra det under en kortare stund. Intrånget i den personliga integriteten vid övervakning av containrarna får mot den bakgrunden anses som ringa. Vid en samlad bedömning anser vi att kameraövervakningen är förenlig med bestämmelsen 5 a andra stycket personuppgiftslagen. Datainspektionen vill emellertid uppmana er att kontinuerligt och med korta tidsintervall, utvärdera om denna kamera är nödvändig. Kameror riktade mot varuintag Det sitter fyra kameror som är riktade mot varuintag. Syftet med kameraövervakningen är att förhindra att chaufförer olovligen tar med sig varor. Två av kamerorna är riktade mot det varuintag som används i stor utsträckning. Övriga två kameror sitter vid varuintag placerade vid lagret för sängar. Det finns varuintag som inte är kameraövervakade. Datainspektionen gör följande bedömning Enligt IKEA:s riktlinjer för kameraövervakning inom IKEA:s varuhus i Sverige är syftet med kameraövervakning att motverka att personal och byggnad utsätts för risker som rån, hot, intrång och sabotage. Det finns information om att området är kameraövervakat och kameran är synlig. De som vistas i utrymmena kan därmed antas vara medvetna om att de övervakas. Det har enligt era uppgifter inte skett några incidenter i området vilket är en omständighet som gör att man kan ifrågasätta behovet av kameran. Detta får då vägas mot den omständigheten att lokaler i den här typen av varuhus typiskt sett kan vara platser som utsätts för rån eller stöld och det kan därför finnas ett särskilt behov av kameraövervakningen. Vidare kan det finnas ett starkt intresse även för anställda att kameraövervakningen sker på platser där det finns risk att utsättas för brott. Mot bakgrund av tidigare angivna tillämpliga rättsregler gör Datainspektionen den samlade bedömningen att kameraövervakningen med dessa kameror är förenlig med bestämmelsen 5 a andra stycket personuppgiftslagen. Övrigt IKEA har konstaterat att biträdesavtal ska upprättas med IKEA:s personuppgiftsbiträden samt att riktlinjer för kameraövervakning ska uppdateras. Datainspektionen förutsätter att IKEA åtgärdar detta. Sida 9 av 10

10 Under inspektionen framkom vidare att rummet där servrarna står inte alltid är låst och att servrarna inte heller är avskärmade. Datainspektionen förutsätter att IKEA vidtar åtgärder för att skydda servrarna. Hur man överklagar Om ni vill överklaga beslutet skall ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Inspektionen måste ha fått ert överklagande inom tre veckor från den dag ni fick ta del av beslutet, annars kan överklagandet inte prövas. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholms för prövning om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Detta beslut har fattats av generaldirektören Göran Gräslund i närvaro av chefsjuristen Hans-Olof Lindblom, teamledaren Erik Janzon och juristen Salli Fanaei, föredragande. Göran Gräslund Salli Fanaei Sida 10 av 10