Kamerabevakning blir allt vanligare. Reglerna skiljer sig åt beroende av vem det är som bevakar och var kameror sätts upp. I ett tidigare pressmeddelande har IT-advokaterna uppmärksammat avsikten med EDPB:s riktlinjer om kamerabevakning och ansiktsigenkänning, när GDPR blir tillämpligt i tillägg till kamerabevakningslagen, samt behovet av balans mellan nyttan av bevakningen och skyddet av den personliga integriteten.
Då privata verksamheter behandlar personuppgifter via kamerabevakning baseras behandlingen ofta på en intresseavvägning. Det betyder att företaget, den personuppgiftsansvarige, har rätt att behandla personuppgifter så länge dess intresse att kamerabevaka väger tyngre än den enskildes rättigheter och friheter. Som personuppgiftsansvarig har man en skyldighet att löpande utvärdera om de uppgifter som man behandlar via kamerabevakningen utgör ett berättigat intrång i den registrerades rättigheter och friheter, dvs. ifall personuppgiftsansvariges egna behov och intressen väger tyngre än det intrång i människors personliga integritet som kamerabevakningen innebär. Ett berättigat intresse som kan ge en privat verksamhet rätt att bedriva kamerabevakning är till exempel att förebygga eller utreda brott.
Utöver vad som föreskrivs i kamerabevakningslagen gäller bestämmelser i annan personuppgiftsreglering, såsom till exempel GDPR. Kamerabevakningslagens bestämmelser har ställning som lex specialis i förhållande till annan personuppgiftsreglering, vilket innebär att lagen har företräde, dvs. de bestämmelser i andra regelverk (exv. GDPR) som också kan appliceras vid kamerabevakning, gäller endast om annat inte finns reglerat i kamerabevakningslagen (till exempel kraven på laglig grund vid behandling av personuppgifter, lagringstid och andra allmänna principer för behandling av personuppgifter).
En generell princip i GDPR är att personuppgifter inte får sparas längre än nödvändigt för de ändamål för vilka de samlades in. I vissa medlemsstater kan det finnas specifika bestämmelser för lagringsperioder kopplade till kamerabevakning. Huruvida materialet från kamerabevakning är nödvändigt att lagra eller inte bör kontrolleras inom en smal tidslinje konstaterar EDBP i sina riktlinjer. Vanligtvis kan skador som inträffat erkännas inom en eller två dagar. EDPB menar att man, med beaktande av principerna i GDPR om dataminimering och lagringsbegränsning, i de flesta fall bör radera personuppgifterna, helst automatiskt, men senast inom ett par dagar. En längre lagringsperiod, särskilt om den överskrider 72 timmar, kräver mer argumentation för att intresseavvägningen ska bestå och för att nödvändigheten att spara personuppgifterna ska uppfyllas.
Det är den personuppgiftsansvariges ansvar att säkerställa att lagringsperioden visar överensstämmelse med principerna om nödvändighet och proportionalitet, samt i övrigt efterlever GDPR:s bestämmelser. Företag som bedriver kamerabevakning bör således se över sina rutiner, specifikt vad gäller lagringstid.
Detta är del 2 av 3 i en serie angående kamerabevakning som IT-advokaterna kommer att publicera. Vill du veta mer om hur detta kan påverka ditt företag, tveka inte att kontakta en IT-advokat.
