Kamerabevakning på skolor ska vara proportionerlig och en konsekvensbedömning avseende dataskydd bör göras

Integritetsskyddsmyndigheten (IMY) har meddelat beslut i ett uppmärksammat tillsynsärende gällande kamerabevakningen på en skola. I beslutet blir frågan om vilken laglig grund som är tillämplig vid kamerabevakning i skolan klargjord. IMY bedömer även nödvändigheten och proportionaliteten av kamerabevakningen utifrån olika ändamål. Anders Vedin och Simon Jernelöv, rådgivare och jurister hos JP Infonet, går först igenom beslutet för att därefter resonera djupare kring ett av de ändamål som utbildningsnämnden angett med behandlingen.

INLEDNING

IMY inledde tillsyn avseende kamerabevakning vid Aspuddens skola vid Stockholms stad i juni 2021 med anledning av klagomål gällande kamerabevakningen. Utbildningsnämnden vid Stockholms stad var personuppgiftsansvarig för skolans verksamhet. På skolan fanns cirka 50 fasta kameror som bevakade stora delar av ytorna i korridorer, trapphus och hallar, i anslutning till dörrar, toaletter och elevskåp – dygnet runt och med bildinspelning.

IMY meddelade beslut i tillsynsärendet i oktober 2023. I tillsynsbeslutet belyser IMY frågan om vilken laglig grund som är tillämplig vid kamerabevakning i skolan. Det är tacksamt att frågan nu är klargjord, då det har förelegat stor osäkerhet i det avseendet. Därefter bedömer IMY nödvändigheten och proportionaliteten av kamerabevakningen utifrån de olika ändamål som utbildningsnämnden angett.

LAGLIG GRUND

Det framgår av beslutet att utbildningsnämnden har angett att den lagliga grunden för kamerabevakningen är ”rättslig förpliktelse” i enlighet med artikel 6.1 c i dataskyddsförordningen. Den rättsliga förpliktelsen följer enligt utbildningsnämnden av att 5 kap. 3 § skollagen (2010:800) tillförsäkrar alla elever en rätt till en trygg skolmiljö. IMY anför i sitt beslut att den angivna skollagsbestämmelsen inte är tillräckligt tydlig och precis för att kunna läggas till grund för den integritetskänsliga personuppgiftsbehandling som skett.

Utbildningsnämnden har i andra hand angett artikel 6.1 e i dataskyddsförordningen som laglig grund för kamerabevakningen – alltså att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. IMY anför emellertid att för att artikel 6.1 e ska kunna läggas till grund för en personuppgiftsbehandling krävs inte bara att den personuppgiftsansvarige har en uppgift av allmänt intresse som fastställts i nationell rätt eller unionsrätten. Den aktuella behandlingen ska även vara nödvändig för att utföra uppgiften av allmänt intresse och ändamålet med behandlingen ska inte rimligen kunna uppnås genom mindre ingripande medel (proportionalitet). IMY framhåller att bedömningen av nödvändighet och proportionalitet har ett nära samband med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som innebär att personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

ÄNDAMÅLET MED BEHANDLINGEN

I tillsynsbeslutet analyserar IMY därefter nödvändigheten och proportionaliteten av kamerabevakningen utifrån de olika ändamål som utbildningsnämnden har angett:

• förebygga och följa upp inbrott och stöld efter verksamhetstid
• förebygga och följa upp anlagda bränder under verksamhetstid
• förebygga och följa upp kränkande behandling under verksamhetstid
• samt förebygga och följa upp skadegörelse, stöld, intrång och annan åverkan i skolan under verksamhetstid.

Förebygga och följa upp inbrott och stöld efter verksamhetstid

IMY konstaterar att integritetsintresset väger mindre tungt för den kamerabevakning som sker efter verksamhetstid. Man finner därför inte skäl att ifrågasätta bevakningens laglighet med hänsyn till den problematik med inbrott och stöld som utbildningsnämnden redovisat, under förutsättning att kamerabevakningen sker när ingen behörig person ska befinna sig i lokalerna.

Förebygga och följa upp anlagda bränder under verksamhetstid

Den del av bevakningen som sker utanför toalettutrymmen i lokaler tillhörande högstadiet är enligt IMY nödvändig och proportionerlig för att säkerställa trygghet i skolan. IMY anser därför att utbildningsnämndens behandling genom kamerabevakning i denna del har laglig grund enligt artikel 6.1 e i dataskyddsförordningen. 

IMY konstaterar dock också att kamerabevakningen som sker utanför detta område är mer omfattande och rymmer fler uppgifter än nödvändigt, varför kamerabevakningen i det avseendet sker i strid med dataskyddsförordningen.

Förebygga och följa upp kränkande behandling under verksamhetstid

I tillsynsbeslutet framgår att IMY anser att det utbildningsnämnden anfört i ärendet inte är tillräckligt för att visa att det finns ett sådant påtagligt intresse av kamerabevakning som krävs för att kunna motivera kamerabevakningen för detta ändamål. IMY anser givet detta att kamerabevakningen inte är nödvändig och proportionerlig för ändamålet och att den sker i strid med dataskyddsförordningen.

Förebygga och följa upp skadegörelse, inbrott och annat intrång eller annan åverkan i skollokalerna under verksamhetstid

Bevakningen som sker med detta ändamål uppfyller enligt IMY inte dataskyddsförordningens krav på nödvändighet och proportionalitet så länge den görs under verksamhetstid. Den sker därmed i strid med dataskyddsförordningen.

SAMMANFATTNING AV BESLUTET I SIN HELHET

Sammanfattningsvis konstaterar IMY att kamerabevakningen dagtid är motiverad på vissa platser för att komma åt problem med anlagda bränder. Kamerornas upptagningsområde måste dock begränsas så att de inte filmar mer än nödvändigt, och bevakning får bara ske på platser där problem med bränder har förekommit. IMY riktar kritik mot skolan för valet av rättslig grund för kamerabevakningen, att all bevakning sker dygnet runt och att kamerorna filmat för stora ytor.

IMY utfärdar en sanktionsavgift på 800 000 kronor mot Utbildningsnämnden i Stockholm på grund av bristerna och förelägger skolan att begränsa kamerabevakningen under dagtid.

IMY:S BEDÖMNING AV ÄNDAMÅLET ATT FÖREBYGGA OCH FÖLJA UPP KRÄNKANDE BEHANDLING

När det gäller ändamålet att förebygga och följa upp kränkande behandling så väcker IMY:s beslut en del frågetecken. Många skolhuvudmän har eller vill ha kamerabevakning för detta ändamål. En orsak till detta kan vara att det i praktiken kan bli påtagligt svårt för skolhuvudmannen att fullgöra det utredningsansvar som enligt 6 kap 10 § skollagen finns vid en anmälan om kränkande behandling, om det inte finns kamerabevakning. Det är inte ovanligt idag att elever tiger om eller förnekar händelser där de själva varit inblandade eller som de bevittnat, vilket gör att ”yttre bevisning” kan vara nödvändig för att komma vidare i utredningar och förebyggandearbete. Av det aktuella beslutet framgår att IMY, givet vad utbildningsnämnden anfört, inte ansåg att kamerabevakningen var nödvändig och proportionerlig i förhållande till ändamålet att förebygga och följa upp kränkande behandling.

Bakgrunden till IMY:s ställningstagande i beslutet finns (s. 11) i den allmänna bedömning av integritetsintressena vid den bevakning som sker under verksamhetstid som myndigheten gör. IMY framhåller att skolan är en arbetsplats för eleverna vilka, på grund av skolplikten, måste befinna sig där under verksamhetstid. Skolan är också arbetsplats där de anställda, vilka står i beroendeförhållande till sin arbetsgivare, måste befinna sig under arbetstid. IMY framhåller även att personuppgifter om barn är särskilt skyddsvärda. Integritetsintresset på skolor väger därmed som utgångspunkt tungt. Att bevakningen i fråga skett med bildinspelning har ytterligare ökat integritetsintresset.

IMY lyfter även fram att det av utredningen framgår att kamerabevakningen i Aspuddens skola sker i de flesta av skolans byggnader. Bevakningen sker i korridorer, trapphus och hallar. Bevakningen i korridorer sker där det finns elevskåp, bord och bänkar. Bevakningen sker också utanför toaletter, utanför matsalen där det finns plats för avhängning samt i hallar för av- och påklädning för de yngre eleverna. Upptagningsområdet omfattar även viss undervisningsyta för de yngre eleverna. IMY konstaterar vidare att de platser som bevakas är sådana där elever vistas och umgås under en stor del av den tid de tillbringar i skolan. Integritetsintresset väger enligt IMY särskilt tungt på platser där elever kan tänkas befinna sig under en längre tid, så som undervisningsytor och sittplatser i korridorer. Bevakning som sker på sådana platser i skolan under skoltid måste enligt IMY generellt betraktas som ett kännbart intrång i både elevernas och de anställdas integritet. Som en konsekvens av detta måste det finnas ett påtagligt behov av bevakningen för att den ska anses nödvändig och proportionell. IMY framhåller att bevakningens integritetskänsliga natur innebär att det krävs noggranna överväganden från den personuppgiftsansvarige om varför det inte fungerar att istället använda alternativa, mindre integritetskänsliga tillvägagångssätt.

När IMY kommer till själva bedömningen av nödvändighet och proportionalitet utifrån ändamålet att förebygga och följa upp kränkande behandling (s. 13–14) så konstaterar man att det av utredningen framgår att det förekommit kränkande behandling i skolans korridorer. Det framgår också att kränkande behandling förekommit i alla årskurser (förskoleklass–årskurs 9) och att antalet incidenter inte skiljer sig åt mellan årskurserna i någon större omfattning.

IMY konstaterar att kränkande behandling är ett vitt begrepp som omfattar många olika typer av handlingar och att svårighetsgraden på den kränkande behandlingen kan variera. Kränkande behandling kan utgöras av alltifrån fysiska slag och sparkar till verbala nedsättande ord och utfrysning. Av det underlag som utbildningsnämnden gett in framgår att de kränkningar som förekommit på Aspuddens skola varit av varierande slag. IMY konstaterar också att det finns en lagstadgad skyldighet för huvudmannen att arbeta förebyggande med kränkande behandling och att i de fall kränkande behandling ändå sker, varierar den utredningsskyldighet som åligger huvudmannen beroende på hur komplicerade fallen är.

Med tanke på att kamerabevakning i skolan är en integritetsingripande personuppgiftsbehandling anser IMY att kamerabevakning som en generell åtgärd med ändamål att förebygga och följa upp kränkande behandling inte kan anses vara varken proportionerlig i förhållande till ändamålet eller nödvändig för att uppfylla de skyldigheter som åligger huvudmannen enlig skollagen.

IMY framhåller därefter att utbildningsnämnden har anfört att kamerabevakning kan användas för att enklare utreda kränkningar, men att behovet av kamerabevakning för aktuellt ändamål inte beskrivits närmare än så. Vidare framhåller IMY att det inte har framkommit i utredningen att utbildningsnämnden har gjort några särskilda överväganden avseende kamerabevakningen mot bakgrund av de fall av kränkande behandling som skett vid skolan. IMY bedömer givet detta att vad utbildningsnämnden anfört och vad som i övrigt framkommit i ärendet inte är tillräckligt för att det ska finnas ett sådant påtagligt intresse av kamerabevakning som krävs för att kunna motivera kamerabevakningen. IMY anser därför att kamerabevakningen som skett med ändamål att förebygga och följa upp kränkande behandling inte kan anses ha varit nödvändig och proportionerlig för att utföra den aktuella uppgiften av allmänt intresse.

IMY konstaterar att givet det ovan sagda, har utbildningsnämnden saknat rättslig grund enligt artikel 6.1 e i dataskyddsförordningen för den kamerabevakning som skett i detta ändamål. IMY bedömer även att kamerabevakningen har skett i strid med principen om laglighet i artikel 5.1 a i dataskyddsförordningen då behandlingen har avsett barn som genom sin skolplikt varit tvungna att befinna sig i skolan samt anställda som varit i beroendeförhållande till sin arbetsgivare.

ANALYS AVSEENDE ÄNDAMÅLET ATT FÖREBYGGA OCH FÖLJA UPP KRÄNKANDE BEHANDLING

I tillsynsbeslutet redogör IMY på ett förtjänstfullt sätt för de faktorer som påverkar bedömningen av om kamerabevakning kan anses tillåtlig eller inte. IMY är också tydliga med vad det är som utbildningsnämnden anfört och vad som i övrigt framkommit i ärendet som ligger till grund för tillsynsmyndighetens bedömning.

Enligt vår mening så ska inte beslutet ses som ett principiellt förbud mot kamerabevakning för ändamålet att förebygga och följa upp kränkande behandling. Men det krävs alltså en mer omfattande utredning och motivering av kamerabevakningen från den personuppgiftsansvarige än vad utbildningsnämnden hade redogjort för i det aktuella fallet.

Av beslutet framgår inte om utbildningsnämnden genomfört en konsekvensbedömning avseende dataskydd enligt artikel 35 i dataskyddsförordningen inför kamerabevakningen. Vår bedömning är dock att sättet som kamerabevakningen genomförs på i detta fall, antalet registrerade som omfattas av kamerabevakningen samt att det rör både barn och anställda vilka anses stå i underläge eller beroendeställning, gör att behandlingen "sannolikt leder till en hög risk för fysiska personers rättigheter och friheter". Att genomföra en konsekvensbedömning avseende dataskydd bör därför vara obligatoriskt i fall som detta.

En konsekvensbedömning avseende dataskydd ska enligt artikel 35.7 i dataskyddsförordningen åtminstone innehålla följande delar

• en systematisk beskrivning av den planerade behandlingen och behandlingens syften
• en bedömning av behovet av och proportionaliteten hos behandlingen i förhållande till syftena
• en bedömning av de risker som behandlingen innebär för de registrerades rättigheter och friheter
• de åtgärder som planeras för att hantera riskerna, inbegripet skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av personuppgifterna och för att visa att denna förordning efterlevs, med hänsyn till de registrerades och andra berörda personers rättigheter och berättigade intressen.

När det gäller den bedömning som den personuppgiftsansvarige måste göra av behovet och proportionaliteten i förhållande till de syfte man har med behandlingen, så är vår bedömning att det sannolikt måste ha inträffat kränkningsincidenter för att kamerabevakning ska kunna komma i fråga. Omfattande kamerabevakning som en rent förebyggande åtgärd utan att några incidenter har inträffat torde närmast definitionsmässigt bli att betrakta som alltför integritetsingripande i IMY:s ögon. Därefter måste det finnas en tydlig koppling mellan de incidenter som har inträffat och behovet av kamerabevakning. Kamerabevakningen måste alltså i princip ha bedömts vara helt nödvändig som verktyg för att kunna utreda just den typ av kränkningsincidenter som man haft problem med. Mindre ingripande insatser än kamerabevakning bör alltså alltid övervägas, och sannolikt också prövas, i första hand. Dessa överväganden behöver också dokumenteras.

IMY:S VÄGLEDNING OM KAMERABEVAKNING

Strax efter det ovan beskrivna beslutet, den 20 november 2023, kom IMY med en uppdatering av sin Vägledning vid kamerabevakning (IMY rapport 2023:3) där myndigheten sammanfattar sina ställningstaganden kring kamerabevakning från både tillsyns- och tillståndsärenden. Den har inget särskilt fokus på skola, utan riktar sig till alla verksamheter som kamerabevakar idag eller överväger att göra det i framtiden. Vägledningen är alltså tänkt som ett stöd i de personuppgiftsansvarigas praktiska arbete med kamerabevakning.

Vägledningen sammanfattar sex goda råd vid kamerabevakning:

1. Säkerställ att du uppfyller grundläggande krav så att din hantering följer både GDPR och kamerabevakningslagen.
2. Dokumentera dina bedömningar skriftligt.
3. Beskriv behovet av kamerabevakning och bedöm intrånget i integriteten för dem som filmas.
4. Värna om integriteten genom att exempelvis begränsa kamerans upptagningsområde och tiden för bevakningen till när den verkligen behövs.
5. Se till att du informerar om bevakningen, bl.a. med tydliga skyltar på lämplig plats.
6. Välj och ställ krav på att den teknik som används för bevakningen är integritetsfrämjande. Det kan exempelvis ibland vara möjligt att bevaka med värmekameror och andra sensorer som alternativ till fullödig filmning, i sammanhang där det inte är nödvändigt med personbevakning.

Av Anders Vedin och Simon Jernelöv, rådgivare och jurister på JP Infonet.
Ursprungligen publicerad i JP Skolnet och JP ITnet.

Ny praxis och lagändringar kan ha tillkommit sedan texten skrevs. De senaste uppdateringarna och hur dessa påverkat rättsområdet hittar du alltid i relevant informationstjänst.

Publicerad 9 jan 2024

Anders Vedin

Rådgivare, jurist

Simon Jernelöv

Rådgivare, jurist