Steg 10 – Skydda person­uppgift­erna

Personuppgifterna som samlas in genom kamerabevakning ska skyddas med lämpliga organisatoriska och tekniska säkerhetsåtgärder. Att ha rutiner för hur materialet får hanteras och för vilka som har åtkomst till det är exempel på organisatoriska säkerhetsåtgärder.

Bevakningsmaterialet ska även skyddas med tekniska säkerhetsåtgärder, till exempel kryptering, behörighetsstyrning, låsta utrymmen eller andra säkerhetslösningar. Nivån på säkerheten ska vara lämplig utifrån situationen i det enskilda fallet. Det gäller både den tekniska och den organisatoriska säkerheten.

Informationssäkerhet

Begränsa behörigheten

Ni är skyldiga att se till att det inspelade materialet inte sprids till obehöriga inom eller utanför organisationen. Ni måste därför ta ställning till vilka som verkligen behöver ha tillgång till det inspelade materialet. Utgångspunkten bör vara att begränsa behörigheten så långt som möjligt. Det är viktigt att endast personer som är pålitliga i sammanhanget har åtkomst till materialet och att den kretsen är så liten som möjligt.

Skyldigheten att skydda inspelat material från obehörig åtkomst regleras bland annat i artikel 32 i dataskyddsförordningen, GDPR. Det framgår också av den grundläggande principen om säkerhet och konfidentialitet i GDPR.

Grundläggande princip om säkerhet och konfidentialitet

Tystnadsplikt gäller som huvudregel

Uppgifter som samlas in genom kamerabevakning betraktas normalt som känsliga ur ett integritetsperspektiv. Anledningen är att de kan användas för att kartlägga enskildas rörelsemönster och lämna information om deras personliga förhållanden. Materialet kan exempelvis innehålla uppgifter om brott, missbruk och hälsa.

Huvudregeln är därför att bilder och filmer från kamerabevakning omfattas av tystnadsplikt. Tar ni del av information från bevakningen får ni alltså inte obehörigen röja eller utnyttja det som ni har fått veta om någon enskilds personliga förhållanden.

Delning av material i sociala medier

För att dela en bild eller filmsekvens från kamerabevakning i sociala medier krävs det att ni har en rättslig grund i GDPR. Till exempel att ni har fått samtycke från personer som syns på filmen eller att ni kan stödja delningen på en intresseavvägning.

Intresseavvägning som stöd för delning

Det är sällan tillåtet att använda intresseavvägning som rättslig grund för att dela kameramaterial i sociala medier. För att ni ska kunna göra det måste delningen vara nödvändig för ett ändamål som rör ett berättigat intresse, och den filmades intresse av skydd för sina personuppgifter får inte väga tyngre.

I bedömningen behöver ni bland annat väga in vad som filmas och vilken situation den bevakade personen är i när den blir filmad. Om filmen innehåller barn är det också viktigt att tänka på att barns personuppgifter anses särskilt skyddsvärda enligt GDPR. Barn kan ha svårare att förutse riskerna med att bilder eller filmer delas. De kan också ha svårare att förstå sina rättigheter, vilket ni måste väga in i intresseavvägningen.

Normalt sett väger den bevakades intresse av skydd för sina personuppgifter tyngre, och då är det inte tillåtet att dela material från kamerabevakningen. Det är till exempel inte tillåtet att sprida filmer på en potentiell gärningsperson i sociala medier. Ni får däremot lämna ut inspelat material till brottsbekämpande myndigheter, som till exempel polisen. 

Om ett brott skulle fångas på film

Om ett brott fångas på film vid kamerabevakning får ni dela det inspelade materialet med polisen vid polisanmälan. Materialet får lämnas till polisen om det behövs för att utreda ett brott som kan ge fängelse, eller om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet med fängelse som påföljd. Filmsekvensen med händelseförloppet ska vara avskild från det övriga filmmaterialet.

När filmat material behandlas i syfte att utreda brott är det fråga om en behandling av personuppgifter om lagöverträdelser, vilken regleras i artikel 10 i GDPR. Huvudregeln är att det endast är myndigheter som får behandla sådant material. För brottsbekämpande myndigheter gäller andra bestämmelser. Den som kamerabevakar har dock rätt att behandla filmmaterialet för att kunna lämna över det till polisen även om det innehåller uppgifter om lagöverträdelser som innefattar brott.

Andra aktörer än myndigheter kan ha stöd för att behandla personuppgifter om lagöverträdelser. Det gäller om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller för att en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Den här regeln regleras i förordningen (2018:219) med kompletterande bestämmelser till GDPR.

IMY får vidare meddela föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter om lagöverträdelser. IMY får också besluta i enskilda fall att andra än myndigheter får behandla sådana uppgifter.

Reglerna om tystnadsplikt gäller även för delning av personuppgifter om lagöverträdelser från kamerabevakning, om delningen sker till andra än brottsbekämpande myndigheter.

Personuppgifter som rör lagöverträdelser

Det finns också andra regler utöver tystnadsplikten och rättslig grund som kan begränsa möjligheten att dela kameramaterial, till exempel den grundläggande principen om ändamålsbegränsning.

Grundläggande princip om ändamålsbegränsning

Nästa steg

När ni har säkerställt att personuppgifterna ni samlar in med er kamerabevakning skyddas med tillräckliga organisatoriska och tekniska säkerhetsåtgärder kan ni inleda er planerade bevakning. Kom ihåg att säkerställa att ni också har gått igenom steg 1–9 innan ni inleder kamerabevakningen.