¶ ile paragrafa bağlantı verin veya alıntıyı künyesiyle kopyalayın. Üretilen bağlantı kimlikleri resmî paragraf numarası değildir.
Beslut Diarienr 1 (12)
2020-12-14 DI-2020-4534
Ert diarienr
Uppsalahem AB
Box 136
751 04 Uppsala
Uppsalahem AB - Tillsyn enligt
dataskyddsförordningen
Innehåll
Uppsalahem AB - Tillsyn enligt dataskyddsförordningen.................................. 1
Datainspektionens beslut..................................................................................... 2
Redogörelse för tillsynsärendet............................................................................ 2
Motivering av beslut............................................................................................. 4
Vad omfattas av Datainspektionens prövning i ärendet?.............................. 4
Datainspektionens bedömning........................................................................ 5
Artikel 6.1 f) - intresseavvägning.................................................................. 5
Är bolagets bevakningsintresse berättigat?................................................. 5
Är bevakningen nödvändig för att tillvarata bevakningsintresset?........... 6
Väger de registrerades intressen tyngre än bevakningsintresset?............. 7
Val av ingripande............................................................................................... 8
Sanktionsavgift.............................................................................................. 9
Bestämmande av sanktionsavgift................................................................. 9
Bilaga.................................................................................................................. 11
Kopia för kännedom till:.................................................................................. 11
Hur man överklagar............................................................................................. 12
Postadress: Box 8114, 104 20 Stockholm E-post: [email protected]
Webbplats: www.datainspektionen.se Telefon: 08-657 61 00
Datainspektionen DI-2020-4534 2 (12)
Datainspektionens beslut
Datainspektionen konstaterar att Uppsalahem AB har behandlat
personuppgifter i strid med artikel 6.1 f) dataskyddsförordningen1 genom att
bedriva kamerabevakning av gemensamma utrymmen i ett flerbostadshus
samt delar av bostäder i samma hus mellan den 25 februari 2020 och den 14
maj 2020 då intresset av att bevaka inte väger tyngre än de registrerades
intressen samt grundläggande friheter och rättigheter på platsen.
Datainspektionen beslutar med stöd av artiklarna 58.2 och 83
dataskyddsförordningen för överträdelse av artikel 6.1 f) att Uppsalahem AB
ska betala en administrativ sanktionsavgift på 300 000 kronor.
Redogörelse för tillsynsärendet
Datainspektionen har den 9 mars 2020 tagit emot ett klagomål om
kamerabevakning i ett flerbostadshus. Klagomålet gör gällande att
Uppsalahem AB bedriver kamerabevakning i ett flerbostadshus med en
kamera som är monterad på så vis att den filmar rakt mot klagandens
lägenhetsdörr. Datainspektionen har inlett tillsyn mot Uppsalahem AB i syfte
att utreda bevakningens omfattning samt huruvida den
personuppgiftsbehandling som bevakningen innebär (hädanefter
”bevakningen”) har rättsligt stöd enligt artikel 6 dataskyddsförordningen.
Uppsalahem AB (hädanefter ”bolaget”) har i huvudsak uppgett följande.
Bolaget är personuppgiftsansvarig för bevakningen. Kameran har varit
monterad i bostadshuset på så vis som görs gällande i klagomålet och filmar
det våningsplan där klaganden bor. I kamerans upptagningsområde syns två
lägenhetsdörrar tydligt i bild, varav den ena tillhör klaganden och den andra
tillhör en boende i huset som varit utsatt för störningar och trakasserier.
Klagandens dörr filmas från sidan och den andra dörren filmas framifrån.
Om klaganden öppnar sin lägenhetsdörr filmas en smal vinkel av hallen i
lägenheten. Om den andra hyresgästen öppnar sin lägenhetsdörr filmas
hallen i lägenheten.
1 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016
om skydd för fysiska personer med avseende på behandling av personuppgifter och om det
fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän
dataskyddsförordning).
Datainspektionen DI-2020-4534 3 (12)
Kameran monterades i flerbostadshuset den 25 februari 2020 och
bevakningen har pågått dygnet runt sedan dess fram till och med den 14 maj
2020. Bevakning sker endast med bildinspelning, utan realtidsbevakning
eller avlyssning eller upptagning av ljud. Åtkomst till materialet är begränsat
till fem befattningshavare inom bolaget – en jurist, en förvaltare, två
boendestödjare och en boendekonsulent – och materialet lagras endast
lokalt i kameran. Boendesamordnare, boendekonsulent och förvaltare
behöver åtkomst till materialet i sitt arbete med att hantera
störningsärenden. Jurist behöver åtkomst till materialet i de fall en rättslig
bedömning behöver göras och om material behöver användas som
bevismaterial i tvister. För att kunna ta del av materialet måste man ladda
ner materialet på plats från kameran till en extern enhet. Under tiden då
bevakningen pågick så har ingen åtkomst till materialet faktiskt skett, och
material har heller inte delats med någon extern aktör.
Syftet med bevakningen är att komma tillrätta med de ordningsstörningar
som har pågått i trapphuset under en längre tid, men som eskalerade i början
av 2019. Det har rört sig om potentiellt brottsliga beteenden i form av
skadegörelse och ofredande samt andra typer av störande beteende som inte
nödvändigtvis är brottsliga. Klaganden har pekats ut av andra boende som
den som är ansvarig för problemen. Kameran har riktats mot en
lägenhetsdörr som tillhör en boende som varit särskilt utsatt för trakasserier
i syfte att identifiera gärningspersonen när denne uppehåller sig vid dörren.
Bolaget stödjer sin bevakning på den rättsliga grunden intresseavvägning
enligt artikel 6.1 f) dataskyddsförordningen. I sin intresseavvägning har
bolaget vägt sitt eget intresse av att bedriva bevakningen mot de enskildas
intresse av skydd för den personliga integriteten. Bolaget har uppgett att
man i huvudsak har beaktat följande omständigheter i stärkande riktning för
sitt bevakningsintresse.
Hyresvärdens skyldighet enligt jordabalken 12 kap. att vidta åtgärder
för att få störningar i hyresfastigheten att upphöra samt hyresgästers
rätt till ersättning om hyresvärden inte vidtar sådana åtgärder,
den befintliga problematiken och de incidenter som inträffat på
platsen,
vikten av att identifiera gärningspersonen eller gärningspersonerna,
den potentiellt avskräckande effekt som bevakningen kunde ha på
framtida incidenter samt
Datainspektionen DI-2020-4534 4 (12)
den trygghetsskapande funktion bevakningen kunnat ha för de
boende som utsatts för trakasserier och skadegörelse.
Bolaget har uppgett att man har vägt sitt bevakningsintresse mot de
enskildas intresse av att inte bli bevakade på platsen. Bolaget har samtidigt
uppgett att man bedömt att integritetsintrånget som bevakningen innebär
har begränsats av följande åtgärder som vidtagits i samband med
bevakningen.
Det faktum att personal på Uppsalahem inte har direktåtkomst till
inspelat material samt
att åtkomst till material endast ska ske när starka skäl föreligger.
Bolaget bedömer med hänsyn till detta att bevakningsintresset väger tyngre
än integritetsintresset och att bevakningen därmed är tillåten enligt artikel
6.1 f dataskyddsförordningen.
Motivering av beslut
Vad omfattas av Datainspektionens prövning i ärendet?
Dataskyddsförordningen innehåller ett stort antal regler som måste följas vid
behandling av personuppgifter, inklusive sådan som sker genom
kamerabevakning. Inom ramen för detta tillsynsärende behandlar
Datainspektionen inte samtliga regler och frågeställningar som kan
aktualiseras vid en sådan personuppgiftsbehandling som den aktuella
bevakningen innebär. Prövningen är avgränsad till frågan om bolaget har
haft stöd för behandlingen i någon av de rättsliga grunderna som framgår av
artikel 6 dataskyddsförordningen. Datainspektionen tar därmed inte
ställning till om bolaget har följt eller inte följt några andra av
dataskyddsförordningens bestämmelser inom ramen för detta ärende, såsom
exempelvis bestämmelserna om de registrerades rättigheter enligt artiklarna
12-22 dataskyddsförordningen. Tillsynen omfattar inte heller
bestämmelserna i kamerabevakningslagen (2018:1200), exempelvis om
tillståndsplikt, upplysningsplikt eller tystnadsplikt.
Datainspektionen DI-2020-4534 5 (12)
Datainspektionens bedömning
Artikel 6.1 f) - intresseavvägning
Bolaget har uppgett den aktuella bevakningen har stöd av artikel 6.1 f)
dataskyddsförordningen. Det finns tre förutsättningar som måste vara
uppfyllda för att så ska vara fallet.2 Den första förutsättningen är att de
intressen som bevakningen avser att skydda måste utgöra berättigade
intressen. Den andra förutsättningen är att bevakningen är nödvändig för att
skydda det aktuella intresset eller intressena. Den tredje förutsättningen är
att den registrerades grundläggande fri- och rättigheter inte väger tyngre än
det berättigade intresse som bevakningen avser att skydda. Dessa rekvisit ska
därför prövas var för sig inom ramen för detta ärende.
Är bolagets bevakningsintresse berättigat?
Den första delen av bedömningen avser karaktären av de intressen som
bevakningen ska skydda. Inte alla tänkbara intressen som skulle kunna
uppnås eller skyddas genom kamerabevakning kan anses vara berättigade.
Ett berättigat intresse är ett intresse som, i allmänhet, åtnjuter
rättsordningens skydd eller i övrigt anses som legitimt, etiskt eller
försvarbart. Ett intresse som skyddas av EU-rätten eller relevant nationell
rätt måste exempelvis betraktas som berättigat. Datainspektionen ska därför
ta ställning till huruvida bolagets bevakningsintresse kan anses vara
berättigat i detta fall.
Ändamålet med bevakningen i det här fallet har varit att komma till rätta
med de ordningsstörningar som förekommit i fastigheten under en längre
tid. Ordningsstörningarna har till stor del bestått av potentiellt brottsliga
angrepp på boendes frihet, frid, hälsa eller egendom. Intresset av att
förebygga, förhindra eller upptäcka brott anses normalt sett vara ett
berättigat intresse. EU-domstolen har vidare slagit fast i mål C-708/183 att en
bostadsrättsförening har ett berättigat intresse enligt äldre
dataskyddslagstiftning att skydda bostadsrättsinnehavares egendom, hälsa
och liv. Det saknas anledning att anta att ikraftträdandet av
dataskyddsförordningen medfört någon förändring av rättsläget i den delen.
Det får vidare antas att en hyresvärd har samma intresse i förhållande till
sina hyresgäster som en bostadsrättsförening har i förhållande till sina
2 EU-domstolens dom i mål C-13/16 Rigas Satikisme punkt 28.
3 EU-domstolens dom i mål C-708/18 TK punkt 42.
Datainspektionen DI-2020-4534 6 (12)
medlemmar. Datainspektionen bedömer därför att bolagets intresse av att
bedriva bevakning på platsen har utgjort ett berättigat intresse.
Är bevakningen nödvändig för att tillvarata bevakningsintresset?
Vidare ska bevakningen vara nödvändig för att skydda de nämnda intressena.
I denna bedömning ska Datainspektionen kontrollera att det berättigade
intresset som framkommit i ärendet inte rimligen kan skyddas på ett lika
effektivt sätt genom andra medel som i mindre utsträckning inkräktar på de
registrerades grundläggande fri- och rättigheter, i synnerhet rätten till skydd
för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och
8 i EU:s rättighetsstadga3. Villkoret om att personuppgiftsbehandlingen ska
vara nödvändig ska vidare prövas tillsammans med principen om
uppgiftsminimering, som framgår av artikel 5.1 c dataskyddsförordningen.4
Det framgår av utredningen i ärendet att bolaget har vidtagit alternativa och
mindre integritetskänsliga åtgärder till kamerabevakning innan kameran
monterades. Dessa åtgärder har dock inte fått avsedd effekt. Sedan kameran
monterades upphörde ordningsstörningarna i trapphuset i princip helt och
hållet. Detta talar för att bevakningen varit nödvändig för att skydda bolagets
och hyresgästernas berättigade intressen.
Det ska även beaktas i prövningen av om bevakningen varit nödvändig eller
inte om kameran har använts på ett sätt som begränsar det intrång i den
personliga integriteten som bevakningen innebär utan att för den sakens
skull äventyra bevakningens effektivitet.5 I förevarande fall har
integritetsintrånget begränsats av de åtgärder som bolaget har vidtagit vad
gäller åtkomst till det inspelade materialet. Bolaget har även valt att bedriva
bevakningen endast med en kamera och på den plats där man bedömt att
bevakningen haft potential att ge störst effekt, vilket är förenligt med
principen om uppgiftsminimering. Samtidigt hade man kunnat minimera
uppgiftsinsamlingen ytterligare genom att maskera delar av kamerans
upptagningsområde, särskilt de lägenhetsdörrar som tydligt synts i bild. Man
hade även av samma anledning kunnat överväga att montera kameran så att
man filmat ur en annan vinkel eller på något annat sätt justera kamerans
upptagningsområde. Därigenom hade man kunnat undvika att filma in i
3 Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02).
4 C-708/18 TK punkt 47-48.
5 C-708/18 TK, punkt 50.
Datainspektionen DI-2020-4534 7 (12)
bostäderna på våningsplanet, vilket med stor sannolikhet har skett under
den tid då kameran varit i drift.
Med hänsyn till att de alternativa åtgärder som bolaget vidtagit innan
kameran monterades varit utan verkan bedömer Datainspektionen dock
sammantaget att bevakningen varit nödvändig för att tillvarata bolagets och
de boendes berättigade intressen.
Väger de registrerades intressen tyngre än bevakningsintresset?
Inledningsvis kan det konstateras att kamerabevakning per definition
innebär en inskränkning av rätten till skydd för personuppgifter, som
garanteras av artikel 8 i rättighetsstadgan. Eftersom bevakningen i det här
fallet har bedrivits i nära anslutning till enskildas privatbostäder har den
även inneburit en inskränkning av rätten till respekt för privat- och
familjelivet och den egna bostaden som garanteras av artikel 7 i
rättighetsstadgan. Eftersom bevakningen har skett på fastighetens första
våningsplan har alla boende i huset blivit föremål för bevakning på väg till
och från sin bostad under hela den period då kameran var igång. Detta gäller
särskilt för klaganden och boenden i lägenheten intill klaganden, eftersom
deras lägenhetsdörrar så tydligt ingår i kamerans upptagningsområde.
Det ska vidare beaktas att rättspraxis kring bevakning av gemensamma
utrymmen i flerbostadshus har varit restriktiv. Det har exempelvis beskrivits
att bevakning av entréer till flerbostadshus – där integritetsintresset kan
antas vara något lägre än i förevarande fall – kan godtas endast i rena
undantagsfall.6 Europeiska dataskyddsstyrelsen (EDPB) har vidare uttalat att
den registrerade inte rimligen bör förvänta sig att bli föremål för bevakning
på privat tomtmark eller i boendemiljöer.7 Dessa omständigheter innebär att
integritetsintresset på platsen som utgångspunkt väger mycket tungt.
Integritetsintresset försvagas dock något av omständigheten att bevakningen
delvis syftar till att skydda de personer som blivit föremål för bevakningen
samt av omständigheten att personal vid bolaget inte haft direktåtkomst till
det inspelade materialet. Datainspektionen vill i sammanhanget erinra om
att det vid all personuppgiftsbehandling ankommer på den
personuppgiftsansvarige att implementera rutiner som innebär att åtkomst
6 Se Datainspektionens beslut av den 21 juni 2011 i ärende med dnr 1745-2010.
7 EDPB Guidelines 3/2019 on processing of personal data through video devices, s. 13
Datainspektionen DI-2020-4534 8 (12)
till personuppgifter endast sker när det finns skäl för det. Att bolaget i
förevarande fall har haft en sådan rutin på plats påverkar därför inte
integritetsintresset i vare sig stärkande eller försvagande riktning. Vid en
sammantagen bedömning anser Datainspektionen att integritetsintresset på
platsen väger mycket tungt.
Vad gäller bevakningsintresset finner Datainspektionen ingen anledning att
göra någon annan bedömning av de omständigheter som ska vägas in än vad
bolaget har gjort. Mot bakgrund av dessa bedömer Datainspektionen att
bevakningsintresset på platsen väger relativt tungt.
Bolaget har således haft ett betydande bevakningsintresse, men med hänsyn
till det mycket tungt vägande integritetsintresset bedömer Datainspektionen
att integritetsintresset väger tyngre. Datainspektionen konstaterar därför att
Uppsalahem AB har brutit mot artikel 6 i dataskyddsförordningen genom att
man har bedrivit kamerabevakning för att skydda ett intresse som inte väger
tyngre än de registrerades intressen samt grundläggande friheter och
rättigheter på platsen.
Val av ingripande
I artikel 58 i dataskyddsförordningen anges samtliga befogenheter som
Datainspektionen har. Enligt artikel 58.2 har Datainspektionen ett antal
korrigerande befogenheter, bland annat varningar, reprimander eller
begränsningar av behandling.
Enligt artikel 58.2 (i) i dataskyddsförordningen framgår att
tillsynsmyndigheten ska påföra administrativa sanktionsavgifter i enlighet
med artikel 83. Enligt artikel 83.2 ska administrativa sanktionsavgifter,
beroende på omständigheterna i det enskilda fallet, påföras utöver eller i
stället för de åtgärder som avses i artikel 58.2 a-h och j. Vidare framgår av
artikel 83.2 n vilka faktorer som ska beaktas vid beslut om administrativa
sanktionsavgifter överhuvudtaget ska påföras och vid bestämmande av
avgiftens storlek.
Istället för sanktionsavgifter får i vissa fall enligt skäl 148 till
dataskyddsförordningen en reprimand utfärdas istället för sanktionsavgifter
om det är frågan om en mindre överträdelse. Hänsyn ska vid bedömningen
Datainspektionen DI-2020-4534 9 (12)
tas till omständigheter såsom överträdelsens karaktär, svårighetsgrad och
varaktighet.
Sanktionsavgift
Datainspektionen har ovan bedömt att bolaget genom sin kamerabevakning
av ett våningsplan i ett lägenhetshus, inklusive lägenhetsdörrar och delar av
bostäder, har överträtt artikel 6.1 f) i dataskyddsförordningen.
Mot bakgrund av att den personuppgiftsbehandling som denna tillsyn
omfattar har inneburit olaglig kamerabevakning rörande privatpersoner i sin
hemmiljö är det inte fråga om en mindre överträdelse. Datainspektionen vill
i sammanhanget framhålla att bevakningen av boendes lägenhetsdörrar och
delar av deras bostäder har utgjort en särskilt integritetskänslig del av
bevakningen och att det med anledning av detta inte finns skäl att ersätta
sanktionsavgiften med en reprimand.
Eftersom bevakningen har upphört är det inte aktuellt att framgent förbjuda
bevakningen. Av samma anledning är det inte heller aktuellt att förelägga
bolaget att begränsa behandlingen på ett sätt som skulle göra den lagenlig.
Någon annan korrigerande åtgärd än sanktionsavgifter är därmed inte
aktuell för den behandling som har skett. Bolaget ska därför påföras en
administrativ sanktionsavgift.
Bestämmande av sanktionsavgift
Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet
säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt
fall är effektivt, proportionellt och avskräckande. Den administrativa
sanktionsavgiften får enligt artikel 83.3 inte överstiga beloppet för den
grövsta överträdelsen om det är frågan om en eller samma
uppgiftsbehandlingar eller sammankopplade uppgiftsbehandlingar.
I artikel 83.2 i dataskyddsförordningen anges samtliga faktorer som ska
beaktas vid bestämmande av sanktionsavgiftens storlek. Vid bedömningen
av storleken på sanktionsavgiften ska bland annat hänsyn tas till artikel 83.2
a (överträdelsens karaktär, svårighetsgrad och varaktighet), b (uppsåt eller
oaktsamhet), g (kategorier av personuppgifter), h (hur överträdelsen kom till
Datainspektionens kännedom) och k (annan försvårande eller förmildrande
faktor till exempel direkt eller indirekt ekonomisk vinst)
dataskyddsförordningen.
Datainspektionen DI-2020-4534 1 0 (12)
Enligt artikel 83.5 a i dataskyddsförordningen ska, vid överträdelser av de
grundläggande principerna för behandling, inklusive villkoren för samtycke,
enligt artiklarna 5, 6, 7 och 9, administrativa sanktionsavgifter påföras på upp
till 20 000 000 (tjugo miljoner) EUR eller, om det gäller företag, på upp till 4
% av den totala globala årsomsättningen under föregående budgetår,
beroende på vilket värde som är högst. Enligt bolagets årsredovisning för
2019 omsatte bolaget ca 1 450 000 000 (en miljard fyrahundrafemtio
miljoner) kronor under det budgetåret. 4 % av det beloppet är 58 000 000
(femtioåtta miljoner) kronor. Eftersom detta belopp är lägre än 20 000 000
EUR ska sanktionsavgiften bestämmas till ett belopp mellan 0 och
20 000 000 EUR.
Sanktionsavgifterna ska i det enskilda fallet vara effektiva, proportionerliga
och avskräckande. Vid Datainspektionens bedömning av överträdelsens
karaktär har hänsyn tagits till följande faktorer i försvårande riktning.
Överträdelsen har kommit till Datainspektionens kännedom genom
ett klagomål från en enskild som berörts av överträdelsen.
Kamerabevakning har skett av hyresgäster i deras hemmiljö, vilka
befinner sig i beroendeställning till bolaget.
Följande faktorer har beaktats i förmildrande riktning.
Det intresse som bevakningen har varit avsedd att skydda har
bedömts som ett berättigat intresse och bevakningen har varit
nödvändig för att tillvarata detta intresse.
Överträdelsen har begåtts av oaktsamhet snarare än uppsåtligen.
Överträdelsen har pågått under en kortare tid.
Sammantaget finner Datainspektionen att en effektiv, proportionell och
avskräckande sanktionsavgift för den konstaterade överträdelsen är 300 000
(trehundra tusen) kronor.
Uppsalahem AB ska därför betala en administrativ sanktionsavgift på 300
000 kronor.
Datainspektionen DI-2020-4534 1 1 (12)
Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter
föredragning av Gustav Linder. Vid den slutliga handläggningen har även
enhetschefen Charlotte Waller Dahlberg medverkat.
Lena Lindgren Schelin, 2020-12-14 (Det här är en elektronisk signatur)
Bilaga
Bilaga – Hur man betalar sanktionsavgift
Kopia för kännedom till:
Uppsala kommun
Datainspektionen DI-2020-4534 1 2 (12)
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär.
Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från
den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid
sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.