Sanktionsavgift för SL:s användning av kroppskameror
Ett av de mest uppmärksammade tillsynsärendena som Integritetsskyddsmyndigheten har inlett rör SL:s användning av kroppskameror. Integritetsskyddsmyndigheten kom fram till att användandet av kroppskamerorna var oproportionerligt och inte följde de grundläggande principerna i GDPR. I denna analys går Didrik Värmon, expert inom dataskydd, igenom tillsynsbeslutet och de regler som gäller vid kamerabevakning.
BAKGRUND
Detta tillsynsärende inleddes efter att Integritetsskyddsmyndigheten (IMY), tidigare Datainspektionen, genom uppgifter i media uppmärksammats på att Aktiebolaget Storstockholms Lokaltrafik (SL) planerat att införa kroppskameror på sina biljettkontrollanter.
I december 2018 inledde SL en testperiod på två månader där 4–10 biljettkontrollanter utrustades med kroppskameror. Denna testperiod förlängdes fram till den 8 januari 2020 innan beslut togs att användandet av kroppskameror skulle användas permanent. Efter beslutet om att kroppskamerorna skulle användas permanent var planen att dessa skulle bäras av 55 biljettkontrollanter på vardagar och 20 biljettkontrollanter på helgdagar.
Syftet med användandet av kroppskameror var att:
- förebygga hotfulla situationer i samband med biljettkontroll
- dokumentera inträffade incidenter för att underlätta utredning i efterhand och
- säkerställa identiteten på resenärer som ska betala tilläggsavgift.
Biljettkontrollanter som bar kroppskameror gjorde detta under hela sina arbetspass. Kamerorna spelade kontinuerligt in ljud och bild med en automatisk rensning av material som var äldre än 1 minut (förinspelningsteknik). När behov av att spara videomaterial uppstått har biljettkontrollanten genom en knapptryckning kunnat hindra rensning av materialet.
De registrerade informerades om personuppgiftsbehandlingen i samband med att biljettkontrollanten utfärdade en tilläggsavgift.
GDPR
Kamerabevakning är en form av personuppgiftsbehandling. Om och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskyddsförordningen (GDPR). Ett antal regleringar i GDPR blev därför relevanta för tillsynsärendet.
Grundläggande principer för behandling av personuppgifter (artikel 5)
I artikel 5 GDPR finns ett antal grundläggande principer som den personuppgiftsansvarige måste beakta vid behandlingen av personuppgifter. Av artikel 5.1 (a) följer bland annat att all personuppgiftsbehandling ska vara laglig, korrekt och att man ska vara öppen med hur man behandlar personuppgifterna (principen om laglighet, korrekthet och öppenhet). Av artikel 5.1 (c) följer att man inte får behandla mer personuppgifter än vad som är nödvändigt utifrån ändamålet med personuppgiftsbehandlingen (principen om uppgiftsminimering).
Av artikel 5.2 följer att den personuppgiftsansvarige ska ansvara för och kunna visa att de principer som följer av artikel 5.1 efterlevs (principen om ansvarsskyldighet)
Laglig grund för behandlingen av personuppgifter (artikel 6)
I artikel 6 i dataskyddsförordningen anges att en behandling endast är laglig om minst ett av de angivna villkoren i artikeln är uppfyllt, det vill säga att det finns en laglig grund för behandlingen. Det finns sex alternativa lagliga grunder enligt artikel 6 GDPR. Man får behandla personuppgifter om (a) den registrerade har samtyckt, (b) om det är nödvändigt för att uppfylla ett avtal med den registrerade, (c) om det är nödvändigt för att uppfylla en rättslig förpliktelse, (d) om det är nödvändigt utifrån någons vitala intressen, (e) om det behövs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning samt (f) om den personuppgiftsansvarige har ett berättigat intresse.
INTEGRITETSSKYDDSMYNDIGHETEN BESLUT
IMY valde i sitt tillsynsärende att gå igenom ett antal punkter utifrån de tre ändamål som SL angivit att de använt kamerabevakningen för i syfte att bedöma om man haft en laglig grund i form av ett berättigat intresse (artikel 6.1 (f) GDPR). Man valde därför att göra en bedömning av följande omständigheter:
- Har SL haft ett berättigat intresse för de angivna ändamålen?
- Har personuppgiftsbehandlingen varit nödvändig för att uppnå ändamålen?
- Vägde de registrerades intressen och rättigheter tyngre än SL:s berättigade intresse?
Förebygga och dokumentera hot och våld (ändamål A och B)
SL hade angett att det funnits en omfattande problembild gällande hot och våld mot biljettkontrollanter. År 2018 rapporterades totalt 62 tillbud (vilket innefattade muntliga påhopp, våld och hot om våld), 21 fall av skada utan frånvaro samt tre fall av skada med sjukfrånvaro. Statistiken baserades på rapporter från cirka 60 biljettkontrollanter.
IMY ansåg att SL visat att man haft ett berättigat intresse av att använda kroppsburna kameror med bild- och ljudinspelning. I utredningen hade man visat på att andra alternativa åtgärder vidtagits (utbildning i lågaffektivt bemötande, användning av ordningsvakter nattetid m.m.) och att dessa inte varit tillräckliga.
I sin bedömning valde IMY att göra en uppdelning mellan å ena sidan aktiverad inspelning av bild och ljud i samband med hot och våld och å andra sidan användning av förinspelningsteknik.
Gällande det förstnämnda ansåg IMY att den personuppgiftsbehandling som inspelning av både bild och ljud innebär var nödvändig i förhållande till ändamålet. Gällande inspelning av bild och ljud hänvisade IMY till såväl förarbeten till kamerabevakningslagen (prop. 2017/18:231) som europeiska dataskyddsstyrelsens (EDPB) riktlinje 3/2019 – för behandling av personuppgifter genom videoenheter där det uttrycks att kamerabevakning inkluderat ljudupptagning ska ses som särskilt integritetskänsligt. Den brottslighet som SL:s biljettkontrollanter utsätts för är dock ofta verbal. För att kunna utreda eventuella hot eller eventuellt våld ansåg IMY det trots allt påkallat med tillgången till en inspelning av rörliga bilder inkluderat ljudupptagning. Sammanfattningsvis ansåg IMY att denna kamerabevakning skett i enlighet med GDPR.
Gällande användning av förinspelningsteknik ansåg IMY att SL visserligen hade ett berättigat intresse och att användandet av kamerabevakningen var nödvändig för att motverka och utreda hot och våld. Dock ansåg IMY att den långa inspelningstid (och den omfattande personuppgiftsbehandling som det innebär) som förinspelningen innebar inte var nödvändig. I och med att så var fallet ansågs inte SL bevakningsintresse väga tyngre än de registrerades integritetsintresse och därmed hade man inte haft en laglig grund enligt artikel 6.1 GDPR för användandet av kroppskameror med förinspelningsteknik. I och med att mer personuppgifter än nödvändigt hade samlats in så hade även personuppgiftsbehandlingen skett i strid med principen om uppgiftsminimering i artikel 5.1(c) GDPR.
Om förinspelningen skett under en kortare tidsperiod ansåg IMY att personuppgiftsbehandlingen kunnat utföras i enlighet md GDPR. IMY ansåg i det här specifika fallet att en kortare tidsrymd om maximalt 15 sekunder hade kunnat innebära att även förinspelningsteknik kunnat användas för dessa två ändamål.
Säkerställa identiteten på resenärer som ska betala tilläggsavgift (ändamål C)
Under år 2017 uppgick intäktsbortfallet på grund av fuskåkning eller biljettfusk till 254 miljoner kronor enligt SL. Under 2018 var intäktsbortfallet kopplat till fuskåkande 280 miljoner kronor. IMY ansåg att SL haft ett berättigat intresse att behandla personuppgifter för att kunna säkerställa personers identitet när en tilläggsavgift skulle delas ut.
SL hade angett att andra åtgärder tidigare använts för att säkerställa identiteten på den som tillställts en tilläggsavgift. Kontrollanten frågar alltid efter identitetshandling eller kontrollerar resenärens identitet genom att kräva in personnummer, namn och adress för att jämföra dessa med uppgifterna i Statens personuppgiftsadresser (SPAR). Ibland har även slagningar gjorts på det uppgivna namnet på Facebook för att säkerställa identiteten. Dessa ansågs dock inte som tillräckliga av SL som även hänvisade till att Högsta domstolen tidigare slagit fast att bevisbördan vid invändning mot tilläggsavgift ligger hos dem (Högsta domstolens mål 3536-18).
IMY ansåg dock att den praxis SL hänvisat till pekat på att utrymmet för en biljettkontrollant att ta fel om en resenär visat upp en giltig identitetshandling ska anses vara mycket begränsat. I dessa fall ansåg man att SL kunnat vidta andra, mindre integritetskränkande åtgärder, än att aktivera inspelning av den som ska kontrolleras. Att använda kamerabevakning ansågs vara ett brott mot principen om uppgiftsminimering i artikel 5.1(c) GDPR och därmed hade man inte haft en laglig grund enligt artikel 6.1 GDPR.
I de fall då resenären inte kunnat visa upp en giltig identitetshandling ansåg IMY dock det som nödvändigt att kunna använda sig av kamerabevakning för att säkerställa identiteten på resenären. De kroppskameror som SL använt ansågs trots detta bryta mot GDPR då det inte var nödvändigt att spela in med såväl rörlig bild som ljud. Även detta utgjorde brott mot samma artiklar i GDPR som i förgående stycke.
I och med att IMY ansåg att det inte varit tillåtet att överhuvudtaget använda sig av kamerabevakning för detta ändamål så fanns inget behov av att göra en bedömning av om användningen av förinspelningsteknik var otillåten. I och med att kamerabevakningen som helhet var otillåten ansågs även användningen av förinspelningsteknik som otillåten.
Slutligen ansåg IMY även att SL:s berättigade intresse inte vägde tyngre än de registrerades integritetsintresse.
Information till de registrerade
Av utredningen hade IMY konstaterat att SL tillhandahöll de registrerade information om personuppgiftsbehandlingen i samband med att de tilldelats en tilläggsavgift. Uppgift om att ljud togs upp framgick inte av informationen. SL hade även lagt till en så kallad badge på biljettkontrollanternas uniform med en bild på en kamera samt texten Kroppskamera/Body Camera för att även andra skulle tillhandahållas information om kamerabevakningen. IMY ansåg dock varken att informationen på badgen eller den skriftliga information som vissa registrerade erhållit varit tillräcklig. SL hade därmed brutit mot öppenhetsprincipen i artikel 5.1 (a) GDPR och artikel 13 GDPR.
Konsekvenser för SL
I och med att SL brutit mot artiklarna 5.1 (a) och (c), 6.1 (f) och 13 kunde en administrativ sanktionsavgift vara aktuell. IMY ansåg att överträdelserna varit så pass allvarlig att en administrativ sanktionsavgift faktisk var lämplig.
För överträdelserna rörande kamerabevakning för ändamål A och B ansåg IMY att en sanktionsavgift på 4 miljoner kronor var lämplig. För överträdelserna rörande kamerabevakning för ändamål C ansåg IMY att en sanktionsavgift på 8 miljoner kronor var lämplig. Sammantaget utdömdes en sanktionsavgift på 12 miljoner kronor.
KOMMENTAR
Beslutet från IMY är inte det första sedan GDPR trädde i kraft som rör kamerabevakning. Dock anser jag att det här är det mest intressanta beslut som publicerats på senare tid. SL testade i och med denna kamerabevakning gränserna för vad som kan vara tillåtet betydligt mer än vad som annars varit fallet i tidigare beslut från IMY.
Beslutet i sig anser jag inte chockerande eftersom den kamerabevakning SL påbörjat genom implementeringen av kroppskameror i sin verksamhet ska anses vara integritetskränkande. Att IMY ansåg personuppgiftsbehandlingen som oproportionerlig på flera punkter var inte heller förvånande. Myndigheten har sedan en lång tid tillbaka sett allvarligt på användandet av kamerabevakning. Dock uppfattar jag det som att man i detta beslut visar en större vilja till proportionalitet från IMY:s sida än vad man vanligtvis sett tidigare. Jag uppfattar det som intressant att man faktiskt varit öppna för att det vid tillfällen ansågs påkallat med användning av kroppskameror och till och med användning av förinspelningsteknik (under en kort tidsrymd). Inte för att jag är en stor förespråkare av ökad användning av kamerabevakning på allmänna platser utan för att proportionalitetsprincipen aldrig får glömmas (vilket saknats i tidigare beslut från IMY).
Vi får även en del matnyttig vägledning från IMY i detta beslut, något som kan användas även i andra situationer. Det jag framför allt vill lyfta fram är följande:
- I särskilt allvarliga situationer, till exempel för att förebygga och dokumentera hot och våld anser IMY att det finns stora möjligheter att använda kamerabevakning,
- Användandet av ljudinspelning ska ses som särskilt integritetskränkande och kräver ett specifikt syfte,
- Vikten av att tillhandahålla information vid kamerabevakning får inte underskattas. Det gäller även att säkerställa att alla registrerade tillhandahålls information (även de som inte utgör föremålet för bevakningen men som ändå fångas på bild).
Av Didrik Värmon, Data Protection Officer, Hoist Finance.
Ursprungligen publicerad i JP ITnet.
Publicerad 30 aug 2021
