Beslut Diarienr 1 (22)
2020-11-24 DI-2019-7782
Gnosjö kommun - Socialutskottet
Tillsyn enligt EU:s dataskyddsförordning
2016/679 – kamerabevakning på ett LSS-
boende
Innehållsförteckning
Datainspektionens beslut ................................................................................... 3
Administrativa sanktionsavgifter .................................................................... 3
Redogörelse för tillsynsärendet.......................................................................... 4
Bakgrund..................................................................................................... 4
Vad som framkommit i ärendet ................................................................. 4
Motivering av beslut ............................................................................................5
Personuppgiftsansvarig ...................................................................................5
Vilka regler gäller vid kamerabevakning........................................................ 6
Datainspektionens bedömning .................................................................. 6
Grundläggande principer för behandling av personuppgifter (artikel 5) ......7
Datainspektionens bedömning ...................................................................7
Rättslig grund för behandlingen av personuppgifter (artikel 6) ................... 9
Datainspektionens bedömning ................................................................. 10
Behandling av känsliga personuppgifter (artikel 9) ...................................... 11
Datainspektionens bedömning ..................................................................13
Konsekvensbedömning och förhandssamråd (artikel 35 och 36) .................13
Datainspektionens bedömning ................................................................. 15
Information till registrerade ......................................................................... 16
Datainspektionens bedömning ................................................................. 18
Val av ingripande ............................................................................................... 19
Rättslig reglering ........................................................................................... 19
Sanktionsavgift ..............................................................................................20
Postadress: Box 8114, 104 20 Stockholm E-post: [email protected]
Webbplats: www.datainspektionen.se Telefon: 08-657 61 00
Datainspektionen DI-2019-7782 2 (22)
Bilaga ............................................................................................................. 21
Kopia för kännedom till: ............................................................................... 21
Hur man överklagar........................................................................................... 21
Datainspektionen DI-2019-7782 3 (22)
Datainspektionens beslut
Datainspektionen konstaterar att Gnosjö kommun - Socialutskottet under
perioden mars 2019 - april 2020 har kamerabevakat en boende på ett LSS-
boende1 i hens sovrum och därigenom behandlat personuppgifter i strid med
- artikel 5.1 a i dataskyddsförordningen2 då kamerabevakningen skett
utan rättslig grund och lagligt stöd för behandlingen av
personuppgifter dvs. inte varit laglig. Att kamerabevakningen utförts
på ett för den boendes personliga integritet mer ingripande sätt än vad
som kan anses skäligt, rimligt och proportionellt i förhållande till
ändamålet, dvs. inte levt upp till kraven på korrekthet samt att
kamerabevakningen skett utan att den boende fått föreskriven
information vare sig enligt dataskyddsförordningen eller
kamerabevakningslagen, dvs. inte levt upp till kraven på öppenhet.
- artikel 6.1 genom att behandla personuppgifter utan att ha någon
rättslig grund för det,
- artikel 9.2 genom att behandla känsliga personuppgifter om
sjukdoms- och hälsotillstånd utan att ha ett lagligt stöd för den
behandlingen,
- artiklarna 35 och 36 genom att inte ha uppfyllt kraven på en
konsekvensbedömning och inte ha förhandssamrått med
Datainspektionen och
- artikel 13 genom att inte ha uppfyllt kravet på information till den
registrerade (den boende) samt
- 15 § kamerabevakningslagen (2018:1200) genom att inte ha lämnat
upplysning om kamerabevakningen genom tydlig skyltning eller på
något annat verksamt sätt.
Administrativa sanktionsavgifter
Datainspektionen beslutar med beslutar med stöd av artiklarna 58.2 och 83 i
dataskyddsförordningen, 6 kap. 2 § lagen (2018:218) med kompletterande
bestämmelser till EU:s dataskyddsförordning samt 25 § punkt 4 i
kamerabevakningslagen (2018:1200) att Gnosjö kommun - Socialutskottet för
1 Bostad med särskild service enligt lag (1993:387) om stöd och service till vissa
funktionshindrade.
2 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016
om skydd för fysiska personer med avseende på behandling av personuppgifter och om det
fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän
dataskyddsförordning).
Datainspektionen DI-2019-7782 4 (22)
överträdelserna av artikel 5.1 a, artikel 6.1, artikel 9.2, artikel 13, artikel 35 och
artikel 36 i dataskyddsförordningen samt 15 § kamerabevakningslagen ska
betala en administrativ sanktionsavgift på 200 000 kronor.
Redogörelse för tillsynsärendet
Bakgrund
Datainspektionen har den 2 maj 2019 mottagit en anmälan från en anhörig till
en boende på ett LSS-boende i Gnosjö kommun enligt vilken socialutskottet i
Gnosjö kommun (nedan socialutskottet) behandlar personuppgifter genom
att kamerabevaka en boende på ett av kommunens LSS-boenden. Enligt
anmälan ska socialutskottet ha uppgett att kamerabevakningen sker med stöd
av ett godkännande/samtycke från den boendes familj och före detta
förvaltare till den boende. Något godkännande/samtycke finns inte enligt
ingivaren av anmälan.
Datainspektionen har med anledning av de uppgifter som anmälan innehåller
inlett tillsyn i syfte att granska om den behandling av personuppgifter som
socialutskottet ska ha genomfört genom kamerabevakning är i enlighet med
dataskyddsreglerna och kamerabevakningslagen.
Tillsynsärendet inleddes med en tillsynsskrivelse den 15 juli 2019. Svar på
tillsynsskrivelsen kom in den 21 augusti 2019. Kompletterande skrivelser från
socialutskottet har kommit in den 2 december 2019, den 11 maj 2020, den 12
augusti 2020 samt den 4 november 2020.
Vad som framkommit i ärendet
Socialutskottet har behandlat personuppgifter genom att i realtid
kamerabevaka en boende på ett LSS-boende i syfte att öka säkerheten för den
boende. Kameran installerades i mars 2019 och bevakningen upphörde den 29
april 2020 i samband med att verksamheten övertogs av en annan utförare.
Socialutskottet har uppgett följande. Den boende har bott på LSS-boendet
sedan hösten 2013. Hen behöver stöd i sin vardag dygnet runt av två personer,
då hen utsätter sig för allvarligt självskadebeteende och behöver få hjälp att
förhindra detta. Vid känslomässigt svåra situationer vill hen vara själv i sitt
sovrum med stängd dörr, personalen har då befunnit sig i vardagsrummet och
varit beredda att gå in vid behov. Det har hänt att det har blivit helt tyst inne
Datainspektionen DI-2019-7782 5 (22)
hos den boende och när personal öppnat dörren för att se hur hen mår så har
hen sovit men väckts när dörren öppnats. Den boende har då återigen blivit
känslomässigt upprörd och risk för självskadebeteende har funnits. Vid andra
tillfällen har det hänt att den boende allvarligt skadat sig själv utan att
personal har hört något.
Under den boendes första tid på LSS-boendet var det periodvis tre personal i
tjänst, trots det så hände det flera gånger att både den boende och personalen
kom till skada. Det har varit så allvarliga incidenter att det har inneburit en
stor fara för hens liv. Efter att personalgruppen har fått både utbildning och
handledning beslutade verksamheten att det är bättre för den boende att
endast ha två personal i tjänst dygnet runt och så har de arbetat sedan våren
2014. Personalen har märkt att när den boende blir orolig och visar tecken på
att vilja skada sig själv, personal eller saker så går det snabbare över om de
låter hen vara själv i sitt sovrum.
Sedan kameran installerades har det inte inträffat några allvarliga incidenter
när den boende varit själv i sovrummet. Personalen har snabbt kunnat
uppmärksamma vad hen haft för sig och de har heller inte behövt störa när
hen kommit till ro. Att kameran installerats innebär inte en minskning av
antalet personal i tjänst; de är alltid dubbelbemannade dygnet runt.
Kameran används endast i realtid för att se hur den boende mår, inget
material sparas. Det sker heller ingen ljudupptagning. Om den boende vill ha
personal inne på sitt rum så är personalen där och kameran används då inte.
Motivering av beslut
Personuppgiftsansvarig
Socialutskottet har uppgett att socialutskottet är personuppgiftsansvarig för
den behandling av personuppgifter som har skett genom kamerabevakning av
en boende på ett av kommunens LSS-boenden. Detta understöds av
utredningen där det framgår att det är socialutskottet som beslutat om
kamerabevakningen och bestämt ändamål och medel med
personuppgiftsbehandlingen.
Datainspektionen DI-2019-7782 6 (22)
Vilka regler gäller vid kamerabevakning
Kamerabevakning är en form av personuppgiftsbehandling.
Kameraövervakningslagen (2013:460), som socialutskottet hänvisat till,
ersattes den 1 augusti 2018 av kamerabevakningslagen (2018:1200) och den
gäller numera i dess ställe. Hur och i vilken utsträckning det är tillåtet att
kamerabevaka regleras således i dataskyddsförordningen och
kamerabevakningslagen (KBL), som kompletterar dataskyddsförordningen.
Av 2 § KBL framgår att syftet med lagen är att tillgodose behovet av
kamerabevakning för berättigade ändamål och att skydda fysiska personer
mot otillbörligt intrång i den personliga integriteten vid sådan bevakning.
Definitionen av kamerabevakning i 3 § KBL innebär bland annat att det ska
vara fråga om utrustning, som utan att manövreras på platsen, används på ett
sätt som innebär varaktig eller regelbundet upprepad personbevakning
Enligt 7 § KBL krävs tillstånd till kamerabevakning av en plats dit
allmänheten har tillträde, om bevakningen ska bedrivas av en myndighet.
Socialutskottet är en myndighet och måste därför som utgångpunkt ha
tillstånd för att kamerabevaka en plats dit allmänheten har tillträde. Frågan är
då om allmänheten anses ha tillträde till den plats som socialutskottet
kamerabevakar. Av praxis framgår att begreppet ”plats dit allmänheten har
tillträde” ska tolkas vitt (se Högsta förvaltningsrättens avgörande RÅ 2000 ref.
52).
Datainspektionens bedömning
Datainspektionen konstaterar att det är fråga om varaktig och regelbundet
upprepad personbevakning, med en kamera som inte manövreras på platsen,
när socialutskottet använder sig av kamerabevakning och filmar en boende på
ett LSS-boende, i sitt sovrum, i realtid.
Mot bakgrund av vad som framkommit om platsen för bevakningen, den
boendes sovrum, bedömer Datainspektionen att det inte är fråga om en plats
dit allmänheten har tillträde. Något krav på att söka tillstånd finns därmed
inte. Att kamerabevakningen är tillståndsfri innebär endast att reglerna i
kamerabevakningslagen om tillstånd för kamerabevakning inte gäller. Andra
regler i kamerabevakningslagen gäller precis som för tillståndspliktig
kamerabevakning, såsom regler om tystnadsplikt och information och när
Datainspektionen DI-2019-7782 7 (22)
kamerabevakningen innefattar personuppgiftsbehandling gäller reglerna i
dataskyddsförordningen.
Grundläggande principer för behandling av personuppgifter (artikel 5)
I artikel 5 i dataskyddsförordningen finns ett antal grundläggande principer
som den personuppgiftsansvarige måste beakta vid behandlingen av
personuppgifter.
Den personuppgiftsansvarige har enligt artikel 5.2 i dataskyddsförordningen
ansvar för efterlevnaden av förordningen och ska kunna visa att de
grundläggande principerna följs.
Av artikel 5.1 a följer att all personuppgiftsbehandling måste vara laglig,
korrekt och präglas av öppenhet. Att behandlingen ska vara korrekt innebär
att den ska vara rättvis, skälig, rimlig och proportionerlig i förhållande till de
registrerade.
I artikel 5.1 c regleras principen om uppgiftsminimering, som innebär att
personuppgifter som behandlas vara adekvata, relevanta och inte för
omfattande i förhållande till de ändamål för vilka de behandlas.
Av skäl 39 följer att personuppgifter endast bör behandlas om syftet med
behandlingen inte rimligen kan uppnås genom andra medel.
Datainspektionens bedömning
Vid en bedömning av om behandlingen är proportionerlig måste behovet av
att genomföra behandlingen vägas mot intrånget i den enskildes personliga
integritet. Beträffande behovet av behandlingen kan Datainspektionen
konstatera att den information som socialutskottet har lämnat visar att den
boendes sjukdomsbild skapar stora svårigheter såväl för hen själv som för
personalen, och att det uppkommit situationer där det varit fråga om risk för
den boendes liv och hälsa. Det har även förekommit att personal kommit till
skada. Utredningen i ärendet stödjer socialutskottets bedömning att det har
funnits ett behov av att vidta åtgärder för att hantera och förbättra
situationen. Det problem som har uppstått tidigare och som kommunen har
lyckats stävja genom kamerabevakningen, består i att när den boende blir
upprörd lugnas hen bäst genom att få dra sig tillbaka och vara själv i
sovrummet, samtidigt som det just då är som störst risk att hen skadar sig
Datainspektionen DI-2019-7782 8 (22)
själv allvarligt. Det har således funnits ett behov av att kunna ha den boende
under uppsikt utan att denne blir störd av personalen.
Datainspektionen konstaterar samtidigt att den aktuella kamerabevakningen
innebär att den boende kamerabevakas i sitt sovrum. Det är därmed fråga om
en mycket integritetskänslig behandling av personuppgifter som innebär att
den boende övervakas i hemmets mest privata sfär. Datainspektionen
bedömer att kamerabevakningen har inneburit ett betydande intrång i den
boendes personliga integritet.
För att en sådan bevakning ska kunna bedömas vara ett acceptabelt intrång i
den personliga integriteten måste alternativa åtgärder först kunna uteslutas.
Datainspektionen konstaterar att socialutskottet tidigare har vidtagit åtgärder
i form av t.ex. handledning, för att försöka förbättra situationen. Det framgår
emellertid inte av utredningen att socialutskottet har försökt uppfylla just
behovet av att hålla den boende under uppsikt utan att riskera att störa hen,
med mindre ingripande åtgärder än genom kamerabevakning. Enligt
Datainspektionens bedömning borde det för socialutskottet vara möjligt att
med relativt enkla och mindre integritetsingripande åtgärder tillgodose
samma behov som med kamerabevakningen.
Datainspektionen finner mot den bakgrunden att socialutskottet inte har
visat att intresset av kamerabevakningen överstiger den boendes rätt till
personlig integritet och en fredad privat sfär. Datainspektionen konstaterar
att det sätt som kamerabevakningen utförts på inneburit en omfattande
övervakning av den boende som medfört ett betydande ingrepp i den boendes
personliga integritet. Det innebär att behandlingen av personuppgifter, dvs.
kamerabevakningen, varit oproportionerlig i förhållande till ändamålet. Den
behandling av personuppgifter som skett genom kamerabevakningen har
därmed inte levt upp till kraven på korrekthet i artikel 5.1 a i
dataskyddsförordningen. Som Datainspektionen anger i det följande i
motiveringen under rubrikerna Rättslig grund för behandlingen av
personuppgifter (artikel 6), Behandling av känsliga personuppgifter (artikel
9) och Information till de registrerade har behandlingen av personuppgifter
skett utan rättslig grund i artikel 6.1, utan stöd i artikel 9.2 och utan att det är
visat att den boende fått information enligt artikel 13 i dataskydds-
förordningen och inte heller enligt kraven i kamerabevakningslagen. Det
innebär att socialutskottet inte heller kan anses ha levt upp till kraven i artikel
5.1 a i dataskyddsförordningen på laglighet och öppenhet.
Datainspektionen DI-2019-7782 9 (22)
Rättslig grund för behandlingen av personuppgifter (artikel 6)
Enligt artikel 5.1 a i dataskyddsförordningen ska personuppgifterna behandlas
på ett lagligt sätt. För att behandlingen ska anses vara laglig krävs det att
åtminstone ett av villkoren i artikel 6.1 är uppfyllda.
Socialutskottet har uppgett att den rättsliga grund som är tillämplig på den
aktuella personuppgiftsbehandlingen är att behandlingen är nödvändig för att
utföra en uppgift av allmänt intresse enligt artikel 6.1 e i
dataskyddsförordningen. Tillhandahållande av socialtjänst är en sådan
uppgift av allmänt intresse som avses i artikel 6.1 e. När det är frågan om den
rättsliga grunden allmänt intresse och myndighetsutövning får
medlemsstaterna enligt artikel 6.2 behålla eller införa mer specifika
bestämmelser för att anpassa tillämpningen av bestämmelserna i
förordningen till nationella förhållanden. Nationell rätt kan närmare
fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att
säkerställa en laglig och rättvis behandling. Men det finns inte bara en
möjlighet att införa nationella regler utan också en skyldighet; artikel 6.3
anger att den grund för behandlingen som avses i punkt 1 c och e ska
fastställas i enlighet med unionsrätten eller medlemsstaternas nationella rätt.
Den rättsliga grunden kan även innehålla särskilda bestämmelser för att
anpassa tillämpningen av bestämmelserna i dataskyddsförordningen.
Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av
allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.
Det innebär att det krävs kompletterande bestämmelser i nationell rätt genom
vilka grunden för behandlingen fastställs. Av skäl 41 framgår att en sådan
rättslig grund eller lagstiftningsåtgärd bör vara tydlig och precis och dess
tillämpning bör vara förutsägbar för personer som omfattas av den.
För behandling av personuppgifter i socialtjänstens verksamhet fastställs
grunden för behandlingen i 6 § lag (2001:454) om behandling av
personuppgifter inom socialtjänsten (SoLPuL). Av den bestämmelsen framgår
att personuppgifter får behandlas bara om behandlingen är nödvändig för att
arbetsuppgifter inom socialtjänsten skall kunna utföras.
Av förarbetena till dataskyddslagen utvecklas vad skäl 41 innebär för
kompletterande nationell lagstiftning (prop. 2017/18:105 Ny dataskyddslag
s. 51).
Datainspektionen DI-2019-7782 1 0 (22)
Vilken grad av tydlighet och precision som krävs i fråga om den
rättsliga grunden för att en viss behandling av personuppgifter
ska anses vara nödvändig måste enligt regeringens mening
bedömas från fall till fall, utifrån behandlingens och
verksamhetens karaktär. Det torde stå klart att en behandling av
personuppgifter som inte utgör någon egentlig kränkning av den
personliga integriteten, såsom när det gäller behandling av
elevers namn i reguljär skolverksamhet, kan ske med stöd av en
rättslig grund som är allmänt hållen. Ett mer kännbart intrång,
t.ex. behandling av känsliga personuppgifter inom hälso- och
sjukvården, kräver att den rättsliga grunden är mer preciserad
och därmed gör intrånget förutsebart. Om intrånget är
betydande och innebär övervakning eller kartläggning av den
enskildes personliga förhållanden krävs dessutom särskilt
lagstöd enligt 2 kap. 6 och 20 §§ RF.
Det innebär att kraven på den kompletterande nationella regleringen
avseende precision och förutsägbarhet ökar när det är frågan om ett mer
kännbart intrång. Om intrånget är betydande och innebär övervakning eller
kartläggning av den enskildes personliga förhållanden, vilket den aktuella
behandlingen gör, krävs dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§
regeringsformen.
Datainspektionens bedömning
Datainspektionen konstaterar att 6 § SoLPuL är en tämligen bred och
opreciserad bestämmelse som utgör grund för behandling av personuppgifter
inom ett stort antal områden. Enligt Datainspektionens bedömning kan
enskilda genom bestämmelsen förutse att socialtjänsten behandlar stora
mängder integritetskänslig information om enskilda i sin verksamhet, såsom
till exempel vid ärendehandläggning. Det kan emellertid inte antas att
enskilda kan förutse att Socialtjänsten även kan komma att utföra
integritetskänslig kamerabevakning. Mot bakgrund av att
kamerabevakningen utgör en ytterst integritetskänslig behandling och att det
därmed ställs höga krav på den nationella regleringen avseende precision och
förutsägbarhet, bedömer Datainspektionen att den rättsliga grunden i 6 §
SoLPuL inte kan utgöra kompletterande nationell bestämmelse till den
rättsliga grunden i artikel 6.1 e i dataskyddsförordningen när det är fråga om
integritetskänslig kamerabevakning.
Datainspektionen DI-2019-7782 1 1 (22)
Därtill ställer 6 § SoLPuL krav på att behandlingen är nödvändig för att utföra
en arbetsuppgift inom socialtjänsten. Beträffande innebörden av begreppet
nödvändig, framgår följande av förarbetena till dataskyddslagen (prop.
2017/18:105 s. 51).
Enligt Svenska Akademiens Ordbok betyder det svenska ordet
nödvändig att någonting absolut fordras eller inte kan
underlåtas. Det unionsrättsliga begreppet har dock inte denna
strikta innebörd. Nödvändighetsrekvisitet i artikel 7 i
dataskyddsdirektivet har t.ex. inte ansetts utgöra ett krav på att
det ska vara omöjligt att utföra en uppgift av allmänt intresse
utan att behandlingsåtgärden vidtas (prop. 2017/18:105 s. 46).
Även om nödvändighetskravet inte innebär att det ska vara omöjligt att utföra
en uppgift av allmänt intresse om inte behandlingen genomförs, kan det
enligt Datainspektionens bedömning inte anses vara nödvändigt att
genomföra en integritetskänslig behandling av personuppgifter via
kamerabevakning om det finns andra rimliga alternativ för att utföra en
uppgift som fyller samma syfte. Såsom Datainspektionen tidigare konstaterat
borde socialutskottet med kunna leva upp till syftet med kamerabevakningen
på ett annat sätt än med just kamerabevakning. Därmed är inte heller kravet
på att behandlingen ska vara nödvändig för att den kompletterande nationella
regleringen i 6 § SoLPuL ska vara tillämplig uppfyllt.
Socialutskottet har därmed genom kamerabevakningen behandlat
personuppgifter utan att ha en rättslig grund för behandlingen enligt artikel
6.1 e i dataskyddsförordningen. Någon annan rättslig grund för behandlingen
enligt artikel 6.1 har heller inte visats föreligga.
Behandling av känsliga personuppgifter (artikel 9)
Av artikel 9.1 i dataskyddsförordningen följer att uppgifter om hälsa utgör en
särskild kategori av personuppgifter (så kallade känsliga personuppgifter).
Huvudregeln är att behandling av sådana personuppgifter är förbjuden. I
artikel 9.2 anges ett antal undantag då känsliga personuppgifter får
behandlas.
Socialutskottet har uppgett att kameran kan komma att bevaka situationer i
vilka den boendes sjukdomsbild och hälsotillstånd framkommer. Det innebär
Datainspektionen DI-2019-7782 1 2 (22)
att den aktuella kamerabevakningen på LSS-boendet innefattar behandling av
uppgifter om hälsa dvs. känsliga personuppgifter.
För att en behandling av känsliga personuppgifter ska vara laglig krävs både
en rättslig grund enligt artikel 6.1 och att något av undantagen från förbudet
att behandla känsliga personuppgifter i artikel 9.2 är tillämpligt. Redan den
omständigheten att socialutskottet har genomfört kamerabevakningen utan
att ha en rättslig grund för behandlingen enligt artikel 6.1 innebär att
behandlingen har skett i strid med artikel 9 i dataskyddsförordningen.
Om det däremot hade funnits en rättslig grund för behandlingen enligt artikel
6.1, skulle socialutskottet således även behövt tillämpa något av undantagen i
artikel 9.2 för att personuppgiftsbehandlingen skulle vara laglig.
Av artikel 9.2 h framgår att behandling av känsliga personuppgifter får ske om
behandlingen är nödvändig av skäl som hör samman med /…/ social omsorg
eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av
deras system, på grundval av unionsrätten eller medlemsstaternas nationella
rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under
förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är
uppfyllda.
För att undantaget i artikel 9.2 h ska kunna tillämpas krävs således
kompletterande regler i unionsrätt eller nationell rätt. I svensk rätt har
möjligheten att behandla känsliga personuppgifter i socialtjänstens
verksamhet reglerats i 7 § 3 st SoLPuL. Av den bestämmelsen framgår att
känsliga personuppgifter får behandlas med stöd av artikel 9.2 h i
dataskyddsförordningen om uppgifterna har lämnats i ett ärende eller är
nödvändiga för verksamheten och under förutsättning att kravet på
tystnadsplikt i artikel 9.3 i dataskyddsförordningen är uppfyllt.
För behandling av känsliga personuppgifter enligt artikel 9 i dataskydds-
förordningen ställs således än högre krav på den kompletterande nationella
regleringen avseende precision och förutsägbarhet för att den ska vara
tillämplig. Då den generellt utformade nationella regleringen inte kan anses
leva upp till kraven på precision och förutsägbarhet och därmed utgöra
rättslig grund för behandling av inte känsliga personuppgifter genom
kamerabevakningen, kan inte heller den på motsvarande sätt generellt
utformade nationella bestämmelsen avseende behandling av känsliga
Datainspektionen DI-2019-7782 1 3 (22)
personuppgifter anses leva upp till kraven på precision och förutsägbarhet.
Bestämmelsen i 7 § SoLPuL kan därmed inte utgöra sådan kompletterande
nationell rätt som krävs för att undantaget i artikel 9.2 h i dataskydds-
förordningen ska vara tillämpligt för behandling av känsliga personuppgifter
genom kamerabevakning.
Därtill ställs det i 7 § SoLPuL även krav på att uppgifterna har lämnats i ett
ärende eller är nödvändiga för verksamheten för att bestämmelsen ska kunna
tillämpas. Då personuppgiftsbehandlingen inte avser ett ärende utan
kamerabevakningen utgör ett faktiskt handlande, måste uppgifterna vara
nödvändiga för verksamheten får att behandlingen ska kunna utföras.
Eftersom nödvändighetskravet emellertid inte kan anses vara uppfyllt
avseende kravet på rättslig grund för behandling av personuppgifter, kan det
inte heller anses vara uppfyllt avseende undantaget i artikel 9.2 h mot
förbudet att behandla känsliga personuppgifter.
Datainspektionens bedömning
Även om socialutskottet skulle haft en rättslig grund enligt artikel 6.1 i
dataskyddsförordningen, uppfyller personuppgiftsbehandlingen genom
kamerabevakning sammanfattningsvis inte kravet på ett i artikel 9.2
tillämpligt undantag från förbudet mot att behandla känsliga
personuppgifter. Datainspektionen bedömer därmed att Gnosjö kommun
genom att kamerabevaka situationer där sjukdomsbild och hälsotillstånd
framkommit behandlat känsliga personuppgifter i strid med artikel 9.1 och
9.2 i dataskyddsförordningen.
Konsekvensbedömning och förhandssamråd (artikel 35 och 36)
Av artikel 35 i dataskyddsförordningen följer att en personuppgiftsansvarig i
vissa fall måste göra en konsekvensbedömning avseende dataskydd dvs. före
behandlingen av personuppgifter göra en bedömning av en planerad
behandlings konsekvenser för skyddet av personuppgifter. Skyldigheten gäller
om en typ av behandling, särskilt med användning av ny teknik och med
beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder
till en hög risk för fysiska personers rättigheter och friheter.
Av artikel 35.7 framgår vad en konsekvensbedömning ska innehålla. Den ska
åtminstone innehålla en beskrivning av den planerade behandlingen och
behandlingens syften, en bedömning av behovet av och proportionaliteten
hos behandlingen, en bedömning av riskerna för de registrerades rättigheter
Datainspektionen DI-2019-7782 1 4 (22)
och friheter samt de åtgärder som planeras för att hantera riskerna och visa att
dataskyddsförordningen efterlevs.
En konsekvensbedömning kan således beskrivas som ett verktyg för att
identifiera risker med behandlingen av personuppgifter och ta fram rutiner
och åtgärder för att hantera riskerna, och därmed bedöma om behandlingen
är proportionerlig i förhållande till syftet med den. Att genomföra en
konsekvensbedömning innan behandlingen påbörjas är således ofta en viktig
åtgärd för att bedöma om en behandling är laglig.
Enligt artikel 36 ska den personuppgiftsansvarige samråda med
Datainspektionen före behandlingen om en konsekvensbedömning avseende
dataskydd enligt artikel 35 visar att behandlingen skulle leda till en hög risk
om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.
Europeiska dataskyddsstyrelsen, EDPB3, har tagit fram riktlinjer4 beträffande i
vilka situationer en behandling sannolikt leder till en hög risk för fysiska
personers fri- och rättigheter. I riktlinjerna anges nio kriterier som ska beaktas
vid bedömningen av om en behandling av personuppgifter sannolikt leder till
en hög risk för den registrerade. Om två av kriterierna är uppfyllda kan den
personuppgiftsansvarige i de flesta situationer anta att en
konsekvensbedömning ska utföras, men även en behandling som endast
uppfyller ett av dessa kriterier kan i vissa fall kräva en konsekvensbedömning.
Omvänt kan två eller fler av kriterierna i vägledningen vara uppfyllda men
den personuppgiftsansvarige kan ändå göra bedömningen att behandlingen
sannolikt inte leder till en hög risk för den registrerades fri- och rättigheter. I
sådana situationer bör den personuppgiftsansvarige motivera och
dokumentera anledningarna till att en konsekvensbedömning inte utförs och
inkludera dataskyddsombudets synpunkter.
Datainspektionen har, med ledning av riktlinjer från Artikel 29-
arbetsgruppen och de kriterier som gruppen tagit fram, beslutat en
förteckning över personuppgiftsbehandling som omfattas av krav på
konsekvensbedömning avseende dataskydd (2019-01-16, dnr DI-2018-13200).
Förteckningen kompletterar och specificerar artikel 35.1 och är avsedd att
3 European Data Protection Board, tidigare artikel 29-gruppen.
4 Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida
behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning
2016/679, WP 248 rev. 01.
Datainspektionen DI-2019-7782 1 5 (22)
närmare exemplifiera när förutsättningarna i den bestämmelsen kan anses
vara uppfyllda. Förteckningen är inte avsedd att på ett uttömmande sätt ange
när en konsekvensbedömning måste göras. Kriterier som ska beaktas vid
bedömningen av om en planerad behandling sannolikt leder till hög risk är
bland annat om behandlingen avser systematisk övervakning av människor,
känsliga uppgifter eller uppgifter av mycket personlig karaktär, uppgifter om
sårbara personer eller användning av ny teknik eller nya organisatoriska
lösningar.
En konsekvensbedömning ska göras om minst två av de i förteckningen
uppräknade punkterna finns med i den planerade behandlingen. Det är
endast obligatoriskt att utföra en konsekvensbedömning om den planerade
behandlingen ”sannolikt leder till en hög risk för fysiska personers rättigheter
och friheter”. En behandling kan uppfylla två eller flera av kriterierna men den
personuppgiftsansvarige kan ändå göra bedömningen att den sannolikt inte
leder till en hög risk. I sådana situationer bör den personuppgifts-ansvarige
motivera och dokumentera anledningarna till att en konsekvensbedömning
inte utförs och inkludera dataskyddsombudets synpunkter. I slutet av
Datainspektionens förteckning ges också exempel på när minst två av
kriterierna ska anses föreligga och därmed när en konsekvensbedömning
måste göras. Som exempel anges när verksamheter inom social omsorg
använder kamerabevakning i människors boende.
Socialutskottet har uppgett att de inte har gjort någon konsekvensbedömning
eftersom de inte sparar information från kamerabevakningen. Socialutskottet
har inte heller kommit in med någon begäran om förhandssamråd till
Datainspektionen.
Datainspektionens bedömning
Datainspektionen konstaterar att kriterier som ska beaktas vid bedömningen
av om en behandling sannolikt leder till hög risk är om behandlingen avser
systematisk övervakning av människor, känsliga uppgifter eller uppgifter av
mycket personlig karaktär, uppgifter om sårbara personer eller tillämpning av
ny teknik eller organisatoriska lösningar.
Av Datainspektionens förteckning framgår att när verksamheter inom social
omsorg använder välfärdsteknik, t.ex. robotar eller kamerabevakning, i
människors boende, så är det ett exempel på behandling som kräver att en
konsekvensbedömning utförs. Då anses kriterierna gällande systematisk
Datainspektionen DI-2019-7782 1 6 (22)
övervakning, behandling av känsliga personuppgifter samt användning av ny
teknik eller nya organisatoriska lösningar vara uppfyllda.
Enligt Datainspektionens bedömning har den aktuella behandlingen omfattat
ett antal kriterier som talar för att behandlingen sannolikt leder till en hög
risk för den registrerades fri- och rättigheter. Ett uttryckligt exempel i
Datainspektionens förteckning över när konsekvensbedömning krävs enligt
dataskyddsförordningen är när verksamheter inom social omsorg, som i detta
fall, använder kamerabevakning i människors boende. Då socialutskottet inte
har redogjort för sin bedömning att inte genomföra en konsekvensbedömning
har den inte visat att behandlingen sannolikt inte leder till hög risk, trots att
flera av kriterierna i riktlinjerna är uppfyllda. Enligt Datainspektionens
bedömning har socialutskottet därmed behandlat personuppgifter i strid med
artikel 35 i dataskyddsförordningen.
Utifrån vad som har framkommit i ärendet så har socialutskottet inte heller
kommit in med ett förhandssamråd. Eftersom socialutskottet inte gjort någon
konsekvensbedömning så har det inte heller gjorts någon bedömning av om
behandlingen medförde några risker för den registrerades fri- och rättigheter.
Därmed har socialutskottet inte heller kunnat visa att den höga risk som
sannolikt föreligger har sänkts på ett sådant sätt att det har saknats anledning
att begära förhandssamråd hos Datainspektionen. Enligt Datainspektionens
bedömning har socialutskottets behandling av personuppgifter således även
skett i strid med artikel 36 i dataskyddsförordningen.
Information till registrerade
I artikel 13 i dataskyddsförordningen anges vilken information som ska
tillhandahållas om personuppgifter samlas in från den registrerade, såsom
information om identitet och kontaktuppgifter för den personuppgifts-
ansvarige, ändamålen med behandlingen för vilken personuppgifterna är
avsedda, den rättsliga grunden, den period under vilken personuppgifterna
kommer lagras samt den registrerades rättigheter.
Av artikel 12 i dataskyddsförordningen framgår att den
personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den
registrerade tillhandahålla all information som avses i artikel 13, och att sådan
information ska tillhandahållas i en koncis, klar, tydlig, begriplig och lätt
tillgänglig form och med användning av klart och tydligt språk.
Informationen ska tillhandahållas skriftligt eller i någon annan form. Av skäl
Datainspektionen DI-2019-7782 1 7 (22)
58 i dataskyddsförordningen framgår att information ska vara kortfattad,
lättåtkomlig och lättbegriplig samt utformad på ett tydligt och enkelt språk
samt att man vid behov använder visualisering.
Socialutskottet har uppgett att de lämnat muntlig information till den
boende, den boendes förvaltare och anhöriga. Även personal och besökare
uppges ha fått del av information om kamerabevakningen.
Beträffande den information som lämnats till den boende har Socialutskottet
uppgett att den boende har fått information om kamerabevakningen genom
att hen var med och tittade på när kameran installerades, och att chefen
muntligt förklarat för den boende att syftet med kameran är att personalen
ska veta att den boende mår bra. Det har inte framkommit att det därutöver
lämnats några andra uppgifter om kamerabevakningen till den boende.
Datainspektionen konstaterar att den information som socialutskottet lämnat
till den registrerade (den boende) endast omfattar information om att
kamerabevakning pågår, och inte all den information som den
personuppgiftsansvarige är skyldig att lämna till den registrerade vid
insamling av personuppgifter enligt artikel 13 i dataskyddsförordningen.
Socialutskottet har även uppgett att information har lämnats till den
registrerades förvaltare. Av 11 kap 4 och 7 §§ föräldrabalken (1949:381) framgår
att rätten får förordna om förvaltare för den som på grund av sjukdom,
psykisk störning, försvagat hälsotillstånd eller liknande förhållande behöver
hjälp med att bevaka sin rätt, förvalta sin egendom eller sörja för sin person,
och det inte är tillräckligt att god man förordnas eller att den enskilde på
något annat mindre ingripande sätt får hjälp. Förvaltaruppdraget ska anpassas
till den enskildes behov i varje särskilt fall och får begränsas till att avse viss
egendom eller angelägenhet.
Datainspektionen konstaterar att även när en förvaltares uppdrag är utformat
på så sätt att det omfattar uppgiften att sörja för den enskildes person finns
det begränsningar i vad en förvaltare får lov att göra. Av förarbetena till
bestämmelserna om förvaltarskap framgår följande.
I allmänhet bör huvudmannen också själv få bestämma i frågor
som rör hans boende liksom innehållet i erbjuden vård. En
förvaltare bör således i normala fall inte företräda huvudmannen
Datainspektionen DI-2019-7782 1 8 (22)
när det gäller frågor om samtycke till t ex operativa ingrepp.
Detta hindrar naturligtvis inte att man från bl.a.
vårdinrättningars sida inhämtar förvaltarens synpunkter (prop.
1987/88:124 s 172).
Datainspektionen har i begäran om komplettering skickad den 15 juni 2020
uppmanat socialutskottet att lämna underlag till Datainspektionen avseende
förvaltaruppdragets omfattning och vilken information som lämnats till
förvaltaren. Socialutskottet har emellertid inte kommit in med underlaget
avseende förvaltaruppdragets omfattning och har heller inte redogjort för
vilken information som lämnats till förvaltaren. Socialutskottet har därutöver
inte heller redogjort för sin bedömning att förvaltaren kan företräda den
boende avseende dennes rätt till information enligt artikel 13 i
dataskyddsförordningen.
Datainspektionens bedömning
Socialutskottet har inte visat att det finns en möjlighet att informera
förvaltaren, istället för den registrerade i det aktuella ärendet, eller att den
information som framgår av artikel 13 i dataskyddsförordningen har lämnats.
Socialutskottet har således inte uppfyllt informationsplikten genom att
informera förvaltaren. Då inte heller den information som socialutskottet har
lämnat till den boende är tillräcklig för att informationsplikten ska vara
uppfylld, har socialutskottets behandling av personuppgifter även skett i strid
med artikel 13 i dataskyddsförordningen.
Vidare framgår det av 15 § kamerabevakningslagen (KBL) att upplysning om
kamerabevakning ska lämnas genom tydlig skyltning eller på något annat
verksamt sätt. Det framkommer även att bestämmelser om rätten till
information om den personuppgiftsbehandling som kamerabevakningen
innebär finns i dataskyddsförordningen och andra föreskrifter som anges i 6 §
KBL.
Socialutskottet har inte lämnat information om att det finns någon skylt som
informerar om att kamerabevakning bedrivs. För att socialutskottet ska anses
ha levt upp till kraven gällande upplysning i kamerabevakningslagen måste
således upplysning om kamerabevakning anses ha lämnats på något annat
verksamt sätt.
Datainspektionen DI-2019-7782 1 9 (22)
Som konstaterats ovan lever den information om kamerabevakningen som
socialutskottet uppger sig har lämnat inte upp till kraven på information
enligt dataskyddsförordningen. Datainspektionen bedömer vidare att
socialutskottet inte heller levt upp till kraven på att lämna upplysning om
kamerabevakning på annat verksamt sätt. Det innebär att behandlingen av
personuppgifter även skett i strid med kravet på upplysning i 15 § KBL.
Eftersom den boende inte fått föreskriven information enligt
dataskyddsförordningen och inte heller enligt kamerabevakningslagen kan
socialutskottet inte anses ha levt upp till kraven på öppenhet i artikel 5.1 a i
dataskyddsförordningen.
Val av ingripande
Rättslig reglering
Om det skett en överträdelse av dataskyddsförordningen har
Datainspektionen ett antal korrigerande befogenheter att tillgå enligt artikel
58.2 a–j i dataskyddsförordningen. Tillsynsmyndigheten kan bland annat
förelägga den personuppgiftsansvarige att se till att behandlingen sker i
enlighet med förordningen och om så krävs på ett specifikt sätt och inom en
specifik period.
Av artikel 58.2 i dataskyddsförordningen följer att Datainspektionen i enlighet
med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra
korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna
i varje enskilt fall.
För myndigheter får enligt artikel 83.7 i dataskyddsförordningen nationella
regler ange att myndigheter kan påföras administrativa sanktionsavgifter.
Enligt 6 kap. 2 § dataskyddslagen kan sanktionsavgifter beslutas för
myndigheter, men till högst 5 000 000 kronor alternativt 10 000 000 kronor
beroende på om överträdelsen avser artiklar som omfattas av artikel 83.4 eller
83.5 i dataskyddsförordningen. Av 25 § punkt 4 KBL framgår även att
sanktionsavgift kan tas ut av den som bedriver kamerabevakning och bryter
mot upplysningskravet i 15 §.
I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en
administrativ sanktionsavgift ska påföras, men också vad som ska påverka
sanktionsavgiftens storlek. Av central betydelse för bedömningen av
Datainspektionen DI-2019-7782 2 0 (22)
överträdelsens allvar är dess karaktär, svårighetsgrad och varaktighet. Om det
är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i
dataskyddsförordningen, utfärda en reprimand i stället för att påföra en
sanktionsavgift.
Sanktionsavgift
Datainspektionens tillsyn har visat att socialutskottet har behandlat
personuppgifter i strid med artiklarna 5, 6.1, 9.2, 13, 35 och 36 i
dataskyddsförordningen. Därtill har socialutskottet brutit mot 15 § KBL.
Vid bedömningen av om överträdelserna är så allvarliga att en administrativ
sanktionsavgift ska påföras har Datainspektionen beaktat att
personuppgiftsbehandlingen avsett kamerabevakning av en boende i en
mycket privat sfär och i en beroendeställning, där behandlingen i viss mån
omfattat känsliga personuppgifter. Behandlingen har pågått från mars 2019-
april 2020, vilket bedöms som en relativt lång tid. Hänsyn har också tagits till
att Datainspektionen har fått kännedom om behandlingen genom ett tips från
en anhörig till den registrerade. Dessa omständigheter ses som försvårande.
Enligt Datainspektionens bedömning har behandlingen inte inneburit en
mindre överträdelse utan överträdelser som ska leda till en administrativ
sanktionsavgift.
Då de artiklar i dataskyddsförordningen som socialutskottet överträtt
omfattas av artikel 83.5 i dataskyddsförordningen samt avser en överträdelse
av upplysningsplikten i 15 § KBL är det maximala beloppet för
sanktionsavgiften i detta fall 10 miljoner kronor, enligt 6 kap. 2 § andra stycket
lagen (2018:218) med kompletterande bestämmelser till EU:s
dataskyddsförordning.
Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och
avskräckande. Det innebär att beloppet ska bestämmas så att den
administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv
effekt och att den dessutom är proportionerlig i förhållande till såväl aktuella
överträdelser som till tillsynsobjektets betalningsförmåga.
Vid fastställandet av ett belopp som är effektivt, proportionerligt och
avskräckande kan Datainspektionen konstatera att socialutskottet har
behandlat känsliga personuppgifter om en boende i situation som är mycket
privat och som innebär att boenden befinner sig i en beroendeställning
Datainspektionen DI-2019-7782 2 1 (22)
gentemot kommunen. Överträdelsen avser övervakning av en person i dennes
sovrum, vilket är en mycket integritetskränkande behandling. Därtill har
behandlingen pågått under relativt lång tid, i mer än ett år. Datainspektionen
har tagit hänsyn till att boenden har ett allvarligt självskadebeteende,
stundtals med fara för liv och hälsa både för sig själv och personalen.
Socialutskottet har vidtagit åtgärden för att lösa en komplex situation där
personal och boenden har riskerat att komma till skada. Även om situationen
har varit svår att hantera har socialutskottet inte prövat alternativa, mindre
ingripande åtgärder för att lösa problemet med att kunna ha den boende
under uppsikt på ett smidigt sätt innan kamerabevakningen påbörjades.
Mot bakgrund av överträdelsernas allvar och att den administrativa
sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande finner
Datainspektionen att den administrativa sanktionsavgiften för socialutskottet
ska bestämmas till 200 000 kronor.
Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter
föredragning av juristen Jeanette Bladh Gustafson. Vid den slutliga
handläggningen har även chefsjuristen Hans-Olof Lindblom och
enhetscheferna Malin Blixt och Charlotte Waller Dahlberg medverkat.
Lena Lindgren Schelin, 2020-11-24 (Det här är en elektronisk signatur)
Bilaga
Hur man betalar sanktionsavgift
Kopia för kännedom till:
Dataskyddsombud för Gnosjö kommun: [email protected]
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär.
Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från
den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid
Datainspektionen DI-2019-7782 2 2 (22)
sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.