DRAGEFOSSEN AS
Postboks 20
8251 ROGNAN
Deres referanse Vår referanse Dato
/TP/ 20/01627-3 08.03.2021
Vedtak om overtredelsesgebyr - Direktesending fra kameraovervåking av
offentlig område
Vi viser til vårt varsel om vedtak om pålegg og overtredelsesgebyr datert 1. oktober 2020, og
merknader til dette i brev fra Dragefossen datert 19. oktober 2020. Disse merknadene
behandles i vedtakets punkt 5.1.
Dere skriver at dere har koblet ut kameraet og stanset direktesendingene etter varselet fra
Datatilsynet, og vi registrerer at direktesendingen er fjernet fra Youtube og hjemmesiden til
Dragefossen. Ettersom kameraovervåkningen og direktesendingen er avsluttet, vurderer
Datatilstynet at det ikke er nødvendig å gå videre med pålegget vi varslet 1. oktober 2020 om
å avslutte behandlingen av personopplysninger gjennom kameraovervåkningen av Rognan
sentrum.
1. Vedtak om overtredelsesgebyr
Datatilsynet fatter følgende vedtak:
1. Med hjemmel i personvernforordningen artikkel 58 nr. 2 bokstav i pålegges
Dragefossen AS, org.nr. 911 204 177, å betale et overtredelsesgebyr til
statskassen på 150 000 – et hundre og femti tusen – kroner for å ha
kameraovervåket Rognan sentrum og direktesendt opptakene på internett uten
rettslig grunnlag i strid med personvernforordningen artikkel 6 nr. 1 og
artikkel 5 nr. 1 bokstav a.
Informasjon om klagerett fremgår i vedtakets punkt 6.
2. Nærmere om sakens faktiske forhold
Datatilsynet mottok 16. desember 2019 en henvendelse fra Kripos, hvor de informerte om at
de hadde mottatt tips om et fastmontert webkamera som direktesendte fra Rognan sentrum på
Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside:
Postboks 458 Sentrum Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 www.datatilsynet.no
0105 OSLO
Youtube. Kripos informerte om at kameraet var festet til bygget til Dragefossen AS (heretter
Dragefossen).
Datatilsynets undersøkelser bekreftet opplysningene, og at bildene fra webkameraet ble
direktesendt på adressen: https://www.youtube.com/watch?v=GimxrnigQtEhttps. Datatilsynet
undersøkelser viste også at samme direktesending ble vist på nettadressen
https://www.dragefossen.no/webkamera.
I redegjørelsen skrev Dragefossen at dere har hatt et kamera som har direktesendt på Youtube
eller hjemmesiden siden 2006, og at det siste kameraet ble satt opp i 2019. Youtube-kanalen
til Dragefossen, som la ut direktesendingen, hadde per 26. mai 2020
1 090 abonnenter, og per 1. oktober 2020 1 530 abonnenter. Datatilsynet er ikke kjent med tall
på hvor mange som har sett den siste direktesendingen som startet 19. august 2019. En
tidligere direktesending på Youtube, som startet 28. januar 2019, fikk rundt 13 000 visninger
på 140 dager.
Webkameraet som direktesendte var montert på taket av Osevegen 6, som er
forretningsadressen til Dragefossen. Webkameraet panorerte 360 grader i jevn hastighet, og
stoppet ved fire faste vinkler i cirka 15 sekunder hver. Kameraet brukte cirka to minutter per
runde, og panorerte raskt forbi den sørvestlige retningen, slik at det i praksis var omtrent 270
grader som ble fanget opp. Frem til Datatilsynet sendte krav om redegjørelse, var det mulig å
spole tilbake inntil 12 timer i direktesendingen.
Områder som ble fanget opp av kameraovervåkningen var blant annet offentlig vei, i tillegg til
parkeringsplass og inngang til Rema 1000 Rognan, Extra Rognan, Apotek 1 Rognan, Rognan
Leker og Garn, Vinmonopolet, Sparebank 1 Nord-Norge, Saftdal kommune Rådhus og en
rekke andre bygg.
Av redegjørelsen og internkontrollen for kameraovervåkning fremgår det at opptakene skal ha
en slik avstand eller være av en slik kvalitet at man ikke kan gjenkjenne ansikter eller
bilnummer. Opptak fra kameraet ble lagret på en egen kameraserver i 14 dager før de ble
skrevet over, og politiet har ved flere anledninger fått tilgang til opptakene i forbindelse med
hendelser i sentrum.
Dragefossen skrev at selskapet gikk ut med informasjon om webkameraet på selskapets
Facebook-side, og at kameraovervåkningen var ment som et servicetilbud for folk som ønsket
å få en oversikt over Rognan sentrum i sanntid.
3. Nærmere om personopplysningslovens krav
Personopplysningsloven gjennomfører den europeiske personvernforordningen i norsk rett.
Reglene i loven og forordningen gjelder ved helt eller delvis automatisert behandling av
personopplysninger, jf. personopplysningsloven § 2 og personvernforordningen artikkel 2.
Inngangsvilkåret for at forordningen skal komme til anvendelse, er at det skjer en behandling
av personopplysninger. Forordningens artikkel 4 nr. 1 definerer personopplysninger slik:
2
«enhver opplysning om en identifisert eller identifiserbar fysisk person («den
registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte
kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et
identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller
flere elementer som er spesifikke for nevne fysiske persons fysiske, fysiologiske,
genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet».
Kameraovervåking som fanger opp enkeltpersoner som direkte eller indirekte kan
identifiseres, utgjør dermed en behandling av personopplysninger som faller inn under
personvernforordningens virkeområde, jf. artikkel 2 nr. 1.
All behandling av personopplysninger må være i tråd med de grunnleggende prinsippene i
forordningens artikkel 5, og det er den behandlingsansvarlige som er ansvarlig for å sikre at
disse prinsippene overholdes, jf. artikkel 5 nr. 2.
Et grunnleggende prinsipp for behandling av personopplysninger er at behandlingen må skje
på lovlig måte, jf. artikkel 5 nr. 1 bokstav a. Før en virksomhet tar i bruk kameraovervåking
må det fastsettes et spesifikt, uttrykkelig angitt og berettiget formål for kameraovervåkingen,
jf. personvernforordningen artikkel 5 nr. 1 bokstav b.
Personvernforordningen artikkel 6 nr. 1 krever at all behandling av personopplysninger har et
rettslig grunnlag. For kameraovervåkning fra private virksomheter er artikkel 6 nr. 1 bokstav f
det nærliggende rettslige grunnlaget. Det rettslige grunnlaget i artikkel 6 nr. 1 bokstav f gir
anvisning på en interesseavveining. Personopplysninger kan behandles etter dette grunnlaget
dersom det er nødvendig for å ivareta en berettiget interesse som veier tyngre enn hensynet til
den enkeltes personvern.
For det første må den aktuelle kameraovervåkningen være for et formål knyttet til den
behandlingsansvarliges eller en tredjeparts berettigede interesse. Personvernnemnda har i
PVN-2019-09 lagt til grunn at den berettigede interessen må være lovlig og reelt begrunnet,
og både rettslige, økonomiske eller ikke-materielle interesser kan være berettigede.
Videre må kameraovervåkingen være et nødvendig tiltak for å ivareta den berettigede
interessen. Dette innebærer at det ikke må finnes andre, mindre personverninngripende tiltak
som kan oppnå formålet.
Den berettigede interessen må så veies mot den registrertes rettigheter interesser og
grunnleggende rettigheter og friheter. Dersom den registrertes rettigheter anses å gå foran og
kreve vern av personopplysningene, vil den behandlingsansvarliges berettigede interesse
måtte vike. I det europeiske personvernrådets retningslinjer for kameraovervåkning 1
forutsettes det at det gjøres en konkret vurdering av situasjonen, og den konkrete
påvirkningen behandlingen har på de registrertes rettigheter. Dette involverer en objektiv
vurdering av de registrertes rimelige forventninger; hva en nøytral tredjeperson med
rimelighet kan forvente av overvåking i en gitt situasjon.
1
Guidelines 3/2019 on processing of personal data through video devices, version 2.0, adapted 29 January 2020.
3
Publisering av kameraopptak på internett, for eksempel gjennom direktesending, utgjør en ny
behandling av personopplysninger, og krever et eget rettslig grunnlag. Selv om en virksomhet
eventuelt skulle anses å ha hjemmel i artikkel 6 nr. 1 bokstav f til å samle inn
personopplysninger ved kameraopptak, kan interesseavveiningen slå annerledes ut når man
vurderer adgangen til publisering på internett.
4. Datatilsynets vurdering
4.1. Vurdering av om kameraovervåkningen utgjør en behandling av personopplysninger
Det første spørsmålet i saken er hvorvidt Dragefossens kameraovervåkning av Rognan
sentrum utgjorde en behandling av personopplysninger, jf. personopplysningsloven § 2 og
personvernforordningen artikkel 2 nr. 1.
Det avgjørende for dette spørsmålet er om enkeltpersoner som ble fanget opp av kameraet
direkte eller indirekte kunne identifiseres, herunder ved bruk av hjelpemidler eller
sammenstilling med andre opplysninger, jf. personvernforordningen artikkel 4 nr. 1.
I vårt krav om redegjørelse av 10. mars 2020 ba vi om svar på hvilke vurderinger Dragefossen
hadde gjort i forbindelse med muligheter til å identifisere enkeltpersoner i
overvåkningsbildene. Av redegjørelsen til Dragefossen fremgikk det at selskapet hadde
vurdert kvaliteten slik at det ikke var mulig å identifisere ansikter eller bilnummer.
Datatilsynet er enig i at det på grunn av kvaliteten og avstanden på bildene fra kameraet, som
klar hovedregel ikke var mulig å se detaljer i ansikter eller lese registreringsnummer på biler.
Vi vurderer imidlertid at man ut ifra bildekvaliteten og avstanden for eksempel kunne
identifisere hvilken type bil enkeltpersoner kjører, hvilke type klær de har på seg, hårfarge og
grov type hårfrisyre, i tillegg til andre personlige karakteristikker eller kjennetegn.
Som Personvernnemnda la til grunn i PVN-2019-09, er det ved all bilde- og
videoidentifisering en forutsetning at man har forhåndskunnskaper om personen som er
avbildet. Slike forkunnskaper kan blant annet være hvordan de ser ut, hvilke klær de har,
hvilken bil de kjører eller personens handlemønstre eller tidsplan. Ved å sammenholde
opplysningene i bildene fra webkameraet med slike forkunnskaper, ville de som så på bildene
fra webkameraet for eksempel kunne identifisere familie, venner, kjærester, kolleger, ansatte,
eller andre man kjenner. At det er mulig å identifisere enkeltpersoner underbygges også av at
politiet ved flere anledninger har bedt om tilgang til opptak i forbindelse med hendelser i
sentrum.
Datatilsynet vurderer at enkeltpersoner som ble fanget opp av kameraet direkte eller indirekte
kunne identifiseres, og kameraovervåkningen behandlet dermed opplysninger om identifiserte
eller identifiserbare fysiske personer, jf. jf. personvernforordningen artikkel 4 nr. 1.
4
Dragefossens kameraovervåkning av Rognan sentrum utgjorde en behandling av
personopplysninger, jf. personopplysningsloven § 2 og personvernforordningen artikkel 2 nr.
1.
4.2. Vurdering av rettslig grunnlag
Det neste spørsmålet er hvorvidt Dragefossen hadde rettslig grunnlag for
kameraovervåkningen av Rognan sentrum og direktesendingen på Youtube og hjemmesiden,
jf. personvernforordningen artikkel 6.
I vårt krav om redegjørelse av 10. mars 2020 ba vi om svar på hvilket rettslig grunnlag
Dragefossen hadde for den aktuelle kameraovervåkningen og publiseringen på internett.
Dragefossen svarte i redegjørelsen at bildene fra webkameraet ikke ble brukt av Dragefossen
på noen måte, og at selskapet derfor ikke så på dette som kameraovervåkning. Dragefossen så
på kameraet som et tilbud til kunder og Saltdals befolkning generelt.
Dragefossen har dermed ikke identifisert et rettslig grunnlag for den aktuelle
kameraovervåkningen av Rognan sentrum i redegjørelsen, og et rettslig grunnlag fremgår
heller ikke av Dragefossens rutiner for kameraovervåkning. Vi legger til grunn at
virksomheten selv ikke har vurdert om det foreligger rettslig grunnlag for verken lagring av
opptak eller direktesending på internett fra kameraovervåkningen.
Datatilsynet vil likevel foreta en selvstendig vurdering av rettslig grunnlag, og legger til grunn
det aktuelle rettslige grunnlaget for denne type behandling ville vært artikkel 6 nr. 1 bokstav f.
Vi viser til presentasjonen av bestemmelsen i punkt 3.
Formålet med kameraovervåkningen var ifølge Dragefossen å vise et live-bilde av Rognan
sentrum som et tilbud til kunder og Saltdals befolkning generelt, i tillegg til at kameraet
fungerte som en trygghet for befolkningen siden opptak kunne utleveres til politiet.
Ettersom det skjedde to forskjellige behandlinger av personopplysninger knyttet til
kameraovervåkningen, både direktesending på internett og lagring av opptak, legger
Datatilsynet til grunn at direktesendingen hadde som formål å vise et live-bilde av Rognan
sentrum som et tilbud til kunder og Saltdals befolkning generelt, og at lagringen hadde som
formål å fungere som en trygghet for befolkningen siden opptak kunne utleveres til politiet.
Datatilsynet vurderer først om lagringen av opptakene fra kameraovervåkningen av Rognan
Sentrum var nødvendig for et formål knyttet til Dragefossens berettigede interesse, og om
denne interessen går foran de registrertes interesser og grunnleggende rettigheter og friheter,
jf. personvernforordningen artikkel 6 nr. 1 bokstav f.
I retningslinjene for kameraovervåkning fra Det europeiske personvernrådet er det lagt til
grunn at formål for beskyttelse mot tyveri, vandalisme og kriminelle handlinger kan utgjøre
en berettiget interesse, dersom det kan påvises at faren er reell, for eksempel gjennom
5
tidligere hendelser.2 Et slikt formål vil imidlertid ikke være knyttet til en berettiget interesse
dersom det kun er basert på spekulasjon.
Etter Datatilsynets vurdering er det uklart om det foreligger en slik reell fare for kriminelle
handlinger her, og dermed tvilsomt om det forelå en berettiget interesse for Dragefossen.
Datatilsynet vurderer også at kameraovervåkningen kunne vært utformet på mindre
personverninngripende måter for å oppnå dette formålet, for eksempel ved at overvåkningen
kunne vært begrenset til tider av døgnet hvor kriminelle handlinger typisk skjer. Det er
dermed også er tvilsomt om den aktuelle kameraovervåkningen var nødvendig for formålet.
Datatilsynet finner det imidlertid unødvendig å konkludere på om lagringen av
kameraopptakene fra kameraovervåkningen av Rognan Sentrum var nødvendig for et formål
knyttet til Dragefossens berettigede interesse, ettersom vi uansett finner det klart at de
registrertes interesser og grunnleggende rettigheter og friheter går foran Dragefossens
eventuelle berettigede interesser, og krever vern av personopplysninger.
Datatilsynet vurderer at uavhengig om det vurderes at lagringen av kameraopptakene fra
Rognan sentrum var nødvendig for et formål knyttet til Dragefossens berettigede interesse, så
kan i alle tilfeller ikke Dragefossens interesse anses som særlig vektig i denne
sammenhengen.
Den aktuelle behandlingen innebar konstant overvåkning av et betydelig offentlig område i
Rognan sentrum. Ettersom det overvåkede området inneholdt parkeringsplass og inngang til
to dagligvarebutikker, vinmonopol og apotek, legger Datatilsynet til grunn at betydelige deler
av befolkningen i Rognan ble berørt av overvåkningen.
Overvåkningen berørte personer som skulle til og fra jobb i området, som skulle handle mat,
medisiner eller alkohol, eller som av andre grunner oppholdte seg i det aktuelle offentlige
området. Dette er aktiviteter hvor de registrerte ikke forventer å bli overvåket, og hvor man
også vil ha en rimelig forventning om å ferdes uten å bli sporet. Dette gjelder i ende større
grad når selskapet som overvåker dem som ikke har noen tilknytning til verken de registrerte
eller de aktuelle aktivitetene deres. Overvåkningen berørte også barn som ferdes i området,
noe som skal særlig vektlegges i vurderingen av artikkel 6 nr. 1 bokstav f.
De registrertes interesser og grunnleggende rettigheter og friheter vil dermed klart gå foran
Dragefossens interesser, og kreve vern av personopplysninger ved et så betydelig inngrep i
personvernet til et så stort antall registrerte. Dragefossens lagring av kameraopptak fra
overvåkningen av Rognan sentrum hadde dermed ikke rettslig grunnlag i artikkel 6 nr. 1
bokstav f.
Datatilsynet vurderer deretter om direktesending av kameraopptakene fra Rognan sentrum på
internett var nødvendig for et formål knyttet til Dragefossens berettigede interesse, og om
2
Guidelines 3/2019 on processing of personal data through video devices, version 2.0, adapted 29 January 2020.
Punkt 3.1.1.
6
denne interessen går foran de registrertes interesser og grunnleggende rettigheter og friheter,
jf. personvernforordningen artikkel 6 nr. 1 bokstav f.
Formålet med direktesendingen var å vise et live-bilde av Rognan sentrum som et tilbud til
kunder og Saltdals befolkning generelt. Også her finner Datatilsynet det tvilsomt om dette
formålet kan knyttes til en berettiget interesse for Dragefossen. Datatilsynet finner uansett at
det fantes andre mindre personverninngripende tiltak som kan oppnå formålet, for eksempel
ved å endre plassering, vinkling, avstand og kvalitet på kameraovervåkningen på en slik måte
at enkeltpersoner ikke kunne identifiseres. Behandlingen av personopplysninger var dermed
ikke nødvendig for formålet.
Også for direktesendingen finner imidlertid Datatilsynet det unødvendig å konkludere på om
behandlingen av personopplysninger var nødvendig for et formål knyttet til Dragefossens
berettigede interesse, ettersom vi uansett finner det klart at den registrertes rettigheter
interesser og grunnleggende rettigheter og friheter går foran Dragefossens eventuelle
berettigede interesser, og krever vern av personopplysninger.
Datatilsynet vurderer at uavhengig om det vurderes at direktesendingen fra
kameraovervåkningen av Rognan sentrum var nødvendig for et formål knyttet til
Dragefossens berettigede interesse, så kan i alle tilfeller ikke Dragefossens interesse anses
som særlig vektig i denne sammenhengen.
Hva gjelder inngrepet i de registrertes grunnleggende rettigheter og friheter, gjør de samme
momentene seg gjeldende for direktesendingen på internett som ved vurderingen knyttet til
lagring av kameraopptakene ovenfor, og vi viser til denne vurderingen. I tillegg gjør
direktesending den aktuelle kameraovervåkningen tilgjengelig for enhver til å potensielt
identifisere og følge ansatte, kolleger, venner, familie, kjærester og andre.
Kameraovervåkningen kunne potensielt brukes til kontrollformål av de som så på
direktesendingen. Dette medfører at inngrepet i personvernet til de registrerte økte betraktelig,
og de registrerte ville i enda mindre grad enn ved lagringen forvente denne type behandling av
personopplysninger.
De registrertes grunnleggende rettigheter og friheter vil dermed klart gå foran Dragefossens
interesser, og kreve vern av personopplysninger ved et så betydelig inngrep i personvernet til
et så stort antall registrerte. Dragefossens direktesending på internett fra
kameraovervåkningen av Rognan sentrum hadde dermed ikke rettslig grunnlag i artikkel 6 nr.
1 bokstav f.
Av Datatilsynets selvstendige vurdering av rettslig grunnlag følger det dermed at Dragefossen
ikke hadde rettslig grunnlag for behandlingen av personopplysninger gjennom
kameraovervåkningen av Rognan sentrum, jf. personvernforordningen artikkel 6.
4.3. Vurdering av lovlighetsprinsippet i artikkel 5 nr. 1 bokstav a
Kravet om at en behandling må være lovlig, innebærer at den må ha et rettslig grunnlag i
personvernforordningen. En behandling av personopplysninger uten rettslig grunnlag vil uten
7
videre være ulovlig, og dermed være i strid med det grunnleggende kravet i prinsippet i
artikkel 5 nr. 1 bokstav a.
Som vist over finner vi at det ikke forelå et rettslig grunnlag for behandlingen av
personopplysninger gjennom kameraovervåkningen av Rognan sentrum, slik at behandlingen
dermed var i strid med prinsippet om lovlighet.
5. Overtredelsesgebyr
5.1. Vurdering av om overtredelsesgebyr skal ilegges
Overtredelsesgebyr er et virkemiddel for å sikre effektiv etterlevelse og håndhevelse av
personopplysningsregelverket. Vi mener det er nødvendig å reagere på overtredelsen og
ilegge overtredelsesgebyr, jf. personvernforordningen artikkel 83.
I samsvar med Høyesteretts praksis (jf. Rt. 2012 side 1556), legger vi til grunn at
overtredelsesgebyr er å anse som straff etter den europeiske menneskerettighetskonvensjonen
art 6. Det kreves derfor klar sannsynlighetsovervekt for lovbrudd for å kunne ilegge gebyr.
Av redegjørelsen til Dragefossen fremgår det at selskapet har hatt et kamera som har
direktesendt på Youtube eller hjemmesiden siden 2006, og at det nåværende kameraet ble satt
opp i 2019. Ettersom Datatilsynet ikke er kjent med hvordan kameraovervåkningen tidligere
har vært utformet, og dermed hvorvidt enkeltpersoner som ble fanget opp av tidligere
kameraovervåkning direkte eller indirekte kunne identifiseres, har vi ved vurderingen av om
det skal ileggelses overtredelsesgebyr og ved utmålingen bare lagt vekt på den siste
direktesendingen som ble igangsatt 19. august 2019.
Ved vurderingen av om det skal ilegges gebyr og ved utmålingen skal Datatilsynet ta hensyn
til momentene i personvernforordningen artikkel 83 nr. 2 bokstav a) til k). Datatilsynet kan
ilegge overtredelsesgebyr etter en skjønnsmessig helhetsvurdering, men de opplistede
momentene legger føringer på skjønnsutøvelsen ved å trekke frem momenter som skal
tillegges særlig vekt.
Vi vil her vurdere de relevante momentene fortløpende.
a) karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til den
berørte behandlingens art, omfang eller formål samt antall registrerte som er berørt, og
omfanget av den skade de har lidd
Overtredelsen innebærer et brudd på det grunnleggende kravet om at all behandling av
personopplysninger må ha et rettslig grunnlag for å være lovlig.
Den aktuelle kameraovervåkningen ble igangsatt 19. august 2019, og omfattet et område av
Rognan sentrum som blant annet inkluderer parkeringsplass og inngang til to
dagligvarebutikker, apotek, vinmonopolet og flere arbeidsplasser. Ifølge Saltdal kommunes
hjemmesider har kommunen i overkant av 4 700 innbyggere, og cirka halvparten av disse bor
i eller tett ved Rognan sentrum. Med tillegg av besøkende til byen, må det legges til grunn at
8
kameraovervåkningen har berørt et betydelig antall registrerte i den aktuelle perioden, og at
mange av disse har blitt overvåket daglig, ukentlig eller gjentatt. Datatilsynet legger også til
grunn at overvåkningen har berørt barn som har ferdes i det aktuelle området i perioden. Barn
er en sårbar gruppe, og vi viser her til personvernforordningens fortalepunkt 38 hvor det pekes
på at barns personopplysninger har et særlig krav på vern. Selv om ikke alle enkeltpersoner
som har blitt fanget opp av kameraovervåkningen har vært direkte eller indirekte
identifiserbare, taler varigheten og antallet registrerte som er berørt av overvåkningen for at
overtredelsen må anses som alvorlig.
Ettersom bildene fra webkameraet ble direktesendt på Youtube og hjemmesiden til
Dragefossen, har overvåkningen av området vært tilgjengelig for enhver til å potensielt
identifisere og følge ansatte, kolleger, venner, familie, kjærester og andre. Direktesendingen
fra kameraovervåkningen har dermed også potensielt kunne blitt brukt til kontrollformål.
Dette medfører at inngrepet i personvernet til de registrerte og alvorlighetsgraden i
overtredelsen er betydelig høyere enn om opptakene kun ble lagret. Det faktum at det også var
mulig å spole tilbake inntil 12 timer i direktesendingen gjorde at den var ytterligere egnet for
kontrollformål, og dette utgjør en skjerpende omstendighet - selv om denne funksjonen ikke
var intensjonen til Dragefossen.
Datatilsynet er som nevnt ikke kjent med tall på hvor mange som har sett den siste
direktesendingen som startet 19. august 2019, men direktesendingen hadde per 1. oktober
2020 over 1 700 likerklikk. En brukerkonto på Youtube kan kun like hver enkelt video én
gang. Til sammenligning hadde en tidligere direktesending fra Dragefossen på Youtube, som
startet 28. januar 2019 og varte under fem måneder, over 13 000 visninger og bare 45
likerklikk. Basert på dette legger Datatilsynet til grunn at direktesendingen har blitt sett på
tusenvis av ganger, og dette vurderer Datatilsynet som en skjerpende omstendighet.
Datatilsynet har imidlertid ikke mottatt noen meldinger om materiell eller ikke-materiell
skade som er lidt som følge av kameraovervåkningen, og det eventuelle skadeomfanget er
dermed ukjent.
Dragefossen skriver i redegjørelsen at informasjon om webkameraet har jevnlig blitt gitt på
Facebook-siden deres. Facebook-siden til Dragefossen har 1 700 likerklikk, og på
varslingstidpunktet 1. oktober 2020 var det forrige innlegget som omtalte kameraet fra 23.
august 2019. Datatilsynet legger til grunn at kun en mindre andel av de registrerte som har
blitt berørt av kameraovervåkningen har vært kjent med at de har blitt overvåket.
Overvåkningen berører personer som skal til og fra jobb i området, som skal handle mat,
medisiner eller alkohol, eller som av andre grunner oppholder seg i det aktuelle offentlige
området. Dette er aktiviteter hvor de registrerte ikke forventer å bli overvåket, og i enda
mindre grad at overvåkningen blir direktesendt på internett. Dette forsterkes ytterligere av at
selskapet som overvåker dem, ikke har noen tilknytning til verken de registrerte eller de
aktivitetene som overvåkes. Disse forholdene vurderer Datatilsynet også som skjerpende
omstendigheter.
b) hvorvidt overtredelsen ble begått forsettlig eller uaktsomt
9
Med unntak av muligheten til å spole tilbake 12 timer i direktesendingen, legger Datatilsynet
til grunn at kameraovervåkningen og dens utforming har vært en bevisst og villet handling fra
Dragefossen.
Forsettskravet følger av alminnelige juridiske grunnprinsipper, og disse prinsippene er
kodifisert i straffeloven § 22. Av bestemmelsen følger det:
«Forsett foreligger når noen begår en handling som dekker gjerningsbeskrivelsen i et
straffebud:
a) med hensikt,
b) med bevissthet om at handlingen sikkert eller mest sannsynlig dekker
gjerningsbeskrivelsen, eller
c) holder det for mulig at handlingen dekker gjerningsbeskrivelsen, og velger å handle
selv om det skulle være tilfellet.»
Av bestemmelsens andre ledd følger det imidlertid at «[f]orsett foreligger selv om lovbryteren
ikke er kjent med at handlingen er ulovlig, jf. § 26». Det er dermed ikke noe krav om at man
visste at handlingen var i strid med loven.
Av straffelovens § 26 følger det at «[d]en som på handlingstidspunktet på grunn av uvitenhet
om rettsregler er ukjent med at handlingen er ulovlig, straffes når uvitenheten er uaktsom.» I
henhold kravet til aktsomhet må virksomheter sette seg inn i hvilken lovgivning som gjelder
på området, og innrette virksomheten i samsvar med de rammer som følger av det aktuelle
regelverket. I vurderingen må det tillegges vekt om regelverket eller den konkrete
subsumsjonen fremstår som uklar, og hvilke tiltak som er truffet for å sikre god
regelkunnskap og innsikt.
Hva som utgjør behandling av personopplysninger er en helt grunnleggende regel i
personvernregelverket som virksomheter må sette seg inn i, og Datatilsynet vurderer at
subsumsjonen ikke er uklar i denne saken. Dragefossens manglende kunnskap om
personvernregelverket og hva som utgjør en behandling av personopplysninger er dermed
ikke aktsom, og får dermed ikke betydning for vurderingen av skyldgraden.
Datatilsynet legger derfor til grunn at overtredelsen er gjort forsettlig fra Dragefossen, og at
dette er en skjerpende omstendighet.
c) eventuelle tiltak truffet av den behandlingsansvarlige eller databehandleren for å begrense
skaden som de registrerte har lidd
Utover å fjerne muligheten til å spole tilbake inntil 12 timer i direktesendingen etter at dere
ble gjort kjent med denne av Datatilsynet, er vi ikke kjent med at Dragefossen har iverksatt
noen tiltak for å begrense konsekvensen som er oppstått gjennom overtredelsen.
d) den behandlingsansvarliges eller databehandlerens grad av ansvar, idet det tas hensyn til
de tekniske og organisatoriske tiltak de har gjennomført i henhold til artikkel 25 og 32
10
Dragefossen hadde rutiner for kameraovervåkning og behandling av opptak da den aktuelle
kameraovervåkningen ble satt i gang. Disse rutinene inneholdt blant annet retningslinjer for
bildekvalitet og avstand på kameraet, lagring, tilgangskontroll og utlevering.
Datatilsynet legger imidlertid vekt på at rutinene for bildekvalitet var mangelfulle, da de kun
anga at kvalitet og avstand skulle være slik at ansikter og bilnummer ikke kan gjenkjennes.
Disse rutinene viser at Dragefossen har hatt manglende bevissthet om regelverket og hva som
utgjør en behandling av personopplysninger som omfattes av personopplysningsloven.
e) eventuelle tidligere overtredelser begått av den behandlingsansvarlige eller
databehandleren
Datatilsynet kjenner ikke til at det foreligger tidligere overtredelser.
f) graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere de
mulige negative virkningene av den
I redegjørelsen har virksomheten svart på spørsmålene fra Datatilsynet slik de er påkrevd.
Dette trekker derfor hverken i skjerpende eller formildende retning.
g) kategoriene av personopplysninger som er berørt av overtredelsen
Særlige kategorier av personopplysninger er ikke berørt av den aktuelle overtredelsen.
Overtredelsen berører imidlertid opplysninger om hvor enkeltpersoner beveger seg og deres
aktiviteter, herunder barn.
Det er en formildende omstendighet i saken at detaljer i ansikt og registreringsnummer på
biler som klar hovedregel ikke kan tydes av overvåkningsbildene. Selv om det er mulig å
identifisere enkeltmennesker på opptakene fra kameraovervåkningen, medfører kvaliteten og
avstanden at slik identifisering er mer krevende, og dette reduserer risikoen for de registrertes
rettigheter og friheter.
h) på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, særlig om og eventuelt
i hvilken grad den behandlingsansvarlige eller databehandleren har underrettet om
overtredelsen
Datatilsynet fikk kjennskap til saken gjennom tips som Kripos videreformidlet. Det foreligger
dermed ingen formildende omstendigheter på dette punktet.
i) dersom tiltak nevnt i artikkel 58 nr. 2 tidligere er blitt truffet overfor den berørte
behandlingsansvarlige eller databehandler med hensyn til samme saksgjenstand, at nevnte
tiltak overholdes
Det er ikke tidligere truffet tiltak overfor Dragefossen med hensyn til samme saksgjenstand.
11
j) overholdelse av godkjente atferdsnormer i henhold til artikkel 40 eller godkjente
sertifiseringsmekanismer i henhold til artikkel 42
Datatilsynet finner ikke dette momentet relevant i saken.
k) og enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske fordeler
som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av overtredelsen
Datatilsynet legger til grunn at Dragefossen ikke har oppnådd noen økonomiske fordeler som
følge av overtredelsen, verken direkte eller indirekte.
Det kan også sees hen til virksomhetens økonomiske situasjon. I følge offentlig tilgjengelige
dokumenter, er Dragefossen i 2019 registrert med driftsinntekter på kr 113 088 000 og et
årsresultat på kr 13 304 000. Datatilsynet finner at virksomheten har økonomi til å bære et
overtredelsesgebyr.
Selskapet har i sine merknader vist til at den eneste kontakten som har vært mellom
Datatilsynet og Dragefossen før det ble varslet vedtak, har vært Datatilsynets krav om
redegjørelse. Dragefossen mener at overtredelsesgebyr er en for kraftig reaksjon, og at deres
intensjon alltid å vært å holde seg innenfor gjeldende lover og forskrifter. Selskapet viser til at
deres kameraovervåkning kunne blitt avsluttet i dialog med Datatilsynet på et tidligere
tidspunkt, og det faktum at overtredelsesgebyr benyttes og skal virke avskrekkende i slike
saker, ikke føles riktig fra selskapets side.
Datatilsynet viser i denne forbindelse til at den aktuelle kameraovervåkningen og
direktesendingen hadde pågått i lang tid før Datatilsynet ble gjort kjent med saken. Etter
personvernforordningens artikkel 5 nr. 2 (ansvarlighetsprinsippet) er den
behandlingsansvarlige ansvarlig for og skal kunne påvise at personvernprinsippene
overholdes. Videre følger det av artikkel 24 at den behandlingsansvarlige plikter å
gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at behandling av
personopplysninger skjer i tråd med personvernforordningen.
Vi viser også til personvernforordningens fortalepunkt 148, hvor det følger:
«For å styrke håndhevingen av bestemmelsene i denne forordning bør det ved
overtredelse av denne forordning ilegges sanksjoner, herunder overtredelsesgebyr, i
tillegg til eller i stedet for egnede tiltak som tilsynsmyndigheten pålegger i henhold til
denne forordning.»
Datatilsynet har ikke kjennskap til andre skjerpende eller formildende faktorer ved saken som
vil påvirke utfallet av vurderingen.
Basert på vurderingene ovenfor kommer Datatilsynet til at overtredelsesgebyr bør ilegges.
5.2. Vurdering av gebyrets størrelse
12
Overtredelsesgebyret skal i henhold til artikkel 83 nr. 1 være virkningsfullt, stå i et rimelig
forhold til overtredelsen og virke avskrekkende. Dette innebærer at tilsynsmyndigheten skal
gjøre en konkret, skjønnsmessig vurdering i hvert enkelt tilfelle.
Ved utmåling av gebyrets størrelse skal det legges vekt på de samme vurderingsmomentene
som er gjennomgått i vedtakets punkt 5.1. Datatilsynet viser derfor til vurderingene gjort
ovenfor, og at disse samlet taler for et gebyr av en viss størrelse.
I skjerpende retning legger vi særlig vekt på at overtredelsen har pågått over tid, har berørt et
betydelig antall registrerte, og at alle personopplysningene er ulovlig tilgjengeliggjort for
allmenheten gjennom direktesendingen på internett.
I formildende retning legges det vekt på at kvaliteten og avstanden på opptakene medfører at
identifisering er mer krevende. Datatilsynet vektlegger også at Dragefossen ikke har oppnådd
noen økonomiske fordeler som følge av overtredelsen, og at det ikke er kjent at det er lidt
materiell eller ikke-materiell skade som følge av overtredelsen.
Også virksomhetens økonomiske evne vil være av betydning, selv om det ikke er aktuelt å
utnytte det spennet i overtredelsesgebyrets størrelse som følger av artikkel 83. nr. 5.
Personvernforordningen artikkel 83 nr. 5. fastsetter et høyere maksbeløp for gebyr når saken
omhandler overtredelser av de grunnleggende prinsippene for behandling av
personopplysninger i henhold til personvernforordningen artikkel 5 og 6.
Med driftsinntekter på kr 113 088 000 og et årsresultat på kr 13 304 000 i 2019, har
Dragefossen en betydelig større økonomi enn det som er tilfelle ved tidligere vedtak om
ulovlig kameraovervåkning. Selv om det ikke foreligger noen direkte sammenlignbare vedtak,
så kan det for eksempel vises til at i PVN-2019-09 hadde virksomheten et driftsresultat på kr
1,5 millioner, og gebyret ble satt til kr 50 000.
Overtredelsen som ligger til grunn for vedtaket skjedde etter at personvernforordningen trådte
i kraft 20. juli 2018, og personvernforordningen legger til rette for et høyere bøtenivå enn det
som gjaldt etter personopplysningsloven fra 2000. For at gebyret skal oppleves som et onde,
slik at de preventive hensynene bak overtredelsesgebyr som reaksjonsform ivaretas, må
gebyret ligge høyere enn det som tidligere har vært tilfelle for vedtak om ulovlig
kameraovervåkning.
Etter en helhetsvurdering av momentene i saken som vi har gjennomgått ovenfor og
alvorligheten i overtredelsen, har vi kommet frem til at et overtredelsesgebyr på kr 150 000
anses riktig.
6. Klagerett og videre saksgang
Dette er et enkeltvedtak som kan påklages etter forvaltningslovens regler, jf.
forvaltningsloven § 28. En eventuell klage må sendes til oss innen tre uker etter at dette
brevet er mottatt, jf. forvaltningsloven §§ 28 og 29. Dersom vi opprettholder vårt vedtak etter
det er påklaget, vil vi sende saken videre til Personvernnemnda for klagebehandling.
13
Dersom dere ikke påklager vedtaket om overtredelsesgebyr, er oppfyllelsesfristen 4 uker etter
klagefristens utløp, jf. personopplysningsloven § 27.
7. Innsyn og offentlighet
Dere har rett til innsyn i sakens dokumenter (jf. forvaltningsloven § 18). Vi vil også informere
dere om at alle dokumentene i utgangspunktet er offentlige (jf. offentlighetsloven § 3.)
Dersom dere mener det er grunnlag for å unnta hele eller deler av dokumentet fra offentlig
innsyn, ber vi dere om å begrunne dette.
Med vennlig hilsen
Jørgen Skorstad
avdelingsdirektør, jus
Anders Sæve Obrestad
juridisk seniorrådgiver
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
14