ADVOKATFIRMAET BAHR AS
Postboks 1524 VIKA Unntatt offentlighet:
0117 OSLO Offl §13 jfr Fvl §13 nr 1
Deres referanse Vår referanse Dato
9135764/1 20/01790-1 (19/01267) /EHN 22.12.2020
Vedtak om ileggelse av overtredelsesgebyr - COOP FINNMARK SA
Vi viser til vårt varsel om vedtak om overtredelsesgebyr av 28. februar 2020, og kommentarer
til varselet fra BAHR datert 25. mars 2020. Vi vil i det følgende referere til «virksomheten»
når vi skriver om merknadene i kommentaren til varselet. Vi vil fortløpende anmerke hvilke
punkter i det endelige vedtaket som avviker fra varselet om vedtak.
1. Vedtak om overtredelsesgebyr
Ut fra opplysningene i saken, mener Datatilsynet at COOP FINNMARK SA har overtrådt
reglene i personopplysningsloven, og ser grunn til å ilegge virksomheten et
overtredelsesgebyr.
Med hjemmel i personopplysningsloven § 1, jf. personvernforordningen artikkel 58 nr.
2 bokstav i, jf. artikkel 83, pålegges Coop Finnmark SA, org.nr. 981 397 568, å betale
et overtredelsesgebyr til statskassen på 400 000 – firehundretusen – kroner for å ha
utlevert personopplysninger i strid med personvernforordningen artikkel 6 og artikkel
5 nr. 1 bokstav a.
Bakgrunnen og begrunnelsen for vedtaket følger under.
2. Nærmere om sakens faktiske forhold
Datatilsynet mottok 10. april 2019 melding om brudd på personopplysningssikkerheten
(avviksmelding) fra Coop Finnmark SA (heretter «Coop Finnmark»). I meldingen beskrives
avviket slik:
«Butikksjef oppdager tyveri i selvskanningen via kameraovervåkingen. Det er to gutter
på opptaket, disse to ser på, mens en av guttene stjeler. (De er fire stykker til
sammen). Butikksjef filmer opptaket fra kameraovervåkingen og sender denne til en
han kjenner , med spørsmål
er «dette » (hennes sønn). Ingen ansikt vises, men man kan se håret,
påkledning, samt skotøy. Hun sender denne videre til sin sønn hvor hun spør om dette
Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside:
Postboks 458 Sentrum Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 www.datatilsynet.no
0105 OSLO
er han. Det er det da ikke, men hennes sønn sender deretter videoen videre, hvor den
da kommer frem til han som var filmet på opptaket.»
Slik vi forstår avviksmeldingen har det skjedd en utlevering av kameraopptak fra et
overvåkingskamera i en butikk tilhørende Coop Finnmark. Utleveringen skjedde ved at
butikksjefen i butikken filmet en skjerm som viste opptak fra kamera i butikken. I tilsvaret til
varselet om vedtak skriver virksomheten at butikksjefen brukte sin mobiltelefon til å filme
filmsnutten, som varte omtrent tre sekunder.
I avviksmeldingen er det oppgitt at opptaket som ble utlevert viste to eller tre barn, med en
anslått alder på 15 eller 16 år, som stjal varer i butikken. Ett eller to av barna utførte det
fysiske tyveriet, mens to av de avbildede på opptaket så på at de andre stjal. I følge
avviksmeldingen vises ikke ansiktene på de avbildede, men det er mulig å se og skille
personene fra hverandre basert på bekledning, hår og skotøy.
Butikksjefen har deretter sendt opptaket, fra sin telefon, videre til det han antok var moren til
en av de avbildede. Han spurte mottakeren om den avbildede personen var hennes sønn.
Kvinnen besvarte spørsmålet negativt, og sendte deretter videoen videre til sønnen sin.
Sønnen sendte så videoen videre. På et tidspunkt nådde videoen frem til den eller de som er
avbildet på opptaket.
Det fremkommer av avviksmeldingen at opptakene senere er utlevert til politiet.
Etter hendelsen kontaktet butikksjefen HR/HMS-ansvarlig, og intern avviksmelding ble
skrevet samme dag. I avviksmeldingen står det beskrevet at butikksjefen kontaktet de berørte
partene han kjente til, og beklaget hendelsen. Han ba samtidig om at opptakene som eventuelt
befant seg på andre enheter ble slettet. Det oppgis også at det ble gitt en beklagelse direkte til
de personene som ble filmet på videosnutten.
Virksomheten leverte melding om brudd på personopplysningssikkerheten 10. april 2019 kl.
14.20. Datatilsynet anmodet deretter Coop Finnmark om ytterligere opplysninger i et brev
med krav om redegjørelse, som ble sendt 8. oktober 2019. Anmodningen ble besvart i
redegjørelse datert 21. oktober 2019. Vedlagt var virksomhetens rutiner for kameraovervåking
og håndtering av avvik ved behandling av personopplysninger, samt virksomhetens
databehandleravtale med en leverandør av tekniske tjenester.
Punkt 9 i Rutine for Kameraovervåking – Butikker i Coop Finnmark omhandler utlevering av
personopplysninger. Punktet i sin helhet lyder:
«Personopplysninger skal ikke bli utlevert til utenforstående med mindre det foreligger
skriftlig grunnlag for utlevering. Hvis det kreves samtykke fra de som er avbildet skal
bekreftelsen vedlegges utleveringsbegjæringen. Hvis det kreves utlevering i forbindelse med
etterforsking av en straffbar handling eller ulykke, kan utlevering til politiet skje, uten at det
foreligger samtykke, hvis grunnlaget for utleveringen finnes.
2
Utlevering av bilder/opptak utleveres i eget format. Originalene beholdes av virksomheten og
er gjenstand for sletting etter reglene for dette.
Bilde/opptak skal aldri brukes til annet enn det formål, jf. pkt 2, det er utlevert til. Ansvaret
for den praktiske håndteringen av utlevering er delegert til sikkerhetssjef, butikksjef eller til
en de delegerer dette ansvaret til.»
Datatilsynet ba om kopi av kameraopptakene som ble gjort i butikken 4. april 2019. Vi
mottok opptakene per brevpost i august 2020. Det er to opptak, et på 19 sekunder som viser
inngangspartiet i butikken, og et opptak på 1 minutt og 33 sekunder som viser kasseområdet i
butikken. Vi legger til grunn at det er deler av disse opptakene som ble filmet av butikksjefen
med hans private telefon, og som deretter ble delt videre. Vi har ikke sett opptaket som ble
gjort på den private telefonen, og disse skal være slettet.
Det ene opptaket viser personer som går inn i butikken. Det andre opptaket viser personer
som betaler for varer ved betjente og selvbetjente kasser i kasseområdet. Det er vanskelig å
utlede av kameraopptakene at det skjer en kriminell handling. Det kan synes som at en av de
avbildede guttene ikke betaler for alle varene han senere tar med seg ut fra butikken.
3. Rettslige utgangspunkter
3.1 Nærmere om personopplysningslovens krav
Personopplysningsloven gjennomfører den europeiske personvernforordningen i norsk rett.
Reglene i loven og forordningen gjelder ved helt eller delvis automatisert behandling av
personopplysninger, jf. personopplysningsloven § 2 og personvernforordningen artikkel 2.
Inngangsvilkåret for at forordningen skal komme til anvendelse, er at det skjer en behandling
av personopplysninger.
Forordningens artikkel 4 nr. 1 definerer personopplysninger slik:
«enhver opplysning om en identifisert eller identifiserbar fysisk person («den
registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte
kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et
identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller
flere elementer som er spesifikke for nevne fysiske persons fysiske, fysiologiske,
genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet».
Definisjonen av personopplysninger er vid. Det som er avgjørende for lovens anvendelse er
om de aktuelle opplysningene kan knyttes til en fysisk person, som enten er identifisert eller
er identifiserbar. Det er tilstrekkelig at den fysiske personen er indirekte identifiserbar, for
eksempel ved bruk av ulike «midler», jf. forordningens fortalepunkt 26. Det avgjørende er om
opplysningene er egnet til å identifisere en person, med eller uten hjelpemidler.
All behandling av personopplysninger må være i tråd med de grunnleggende prinsippene i
forordningens artikkel 5. Prinsippene innebærer at behandlingen skal være lovlig, rettferdig
og gjennomsiktig (bokstav a). Behandlingen skal kun skje etter forhåndsbestemte formål, og
3
ikke gjenbrukes for nye formål som strider mot de opprinnelige (bokstav b). Behandlingen
skal være adekvat, relevant og begrenset til det bestemte formålet (bokstav c). Opplysningene
skal være riktige (bokstav d), og de skal kun lagres for en begrenset tidsperiode etter hva som
er nødvendig etter formålet (bokstav e). Behandlingen skal skje på en måte som sikrer
personopplysningenes integritet og konfidensialitet (bokstav f). Dette prinsippet innebærer at
personopplysningene skal sikres mot at utenforstående får uautorisert tilgang, gjennom
egnede organisatoriske og tekniske tiltak.
Det er den behandlingsansvarlige som er ansvarlig for å sikre at disse prinsippene og
forordningen som helhet, overholdes (artikkel 5 nr. 2).
Et av personvernforordningens krav for at behandlingen skal anses for å være lovlig er at det
foreligger et rettslig grunnlag for den (behandlingsgrunnlag). De ulike formene for
behandlingsgrunnlag finner vi i forordningens artikkel 6. For kameraovervåking utført av
private virksomheter og tilhørende behandlinger, herunder utlevering, er det
behandlingsgrunnlaget i artikkel 6 nr. 1 bokstav f som er det mest nærliggende. Vi viser til at
Personvernnemnda har lagt til grunn at artikkel 6 nr. 1 bokstav f er et aktuelt
behandlingsgrunnlag i vurderingen av slike saker.1
Behandlingsgrunnlaget i artikkel 6 nr. 1 bokstav f gir anvisning på en interesseavveining.
Personopplysninger kan behandles etter dette grunnlaget dersom det er nødvendig for å vareta
en berettiget interesse som veier tyngre enn hensynet til den enkeltes personvern. Dette
innebærer at virksomheten må ha en berettiget interesse, behandlingen må være nødvendig for
å oppnå den berettigede interessen og at det gjøres en konkret vurdering av vekten av
interessen. Denne må så veies mot den registrertes rett til personvern.
Dersom en behandling ikke oppfyller de grunnleggende kravene i personvernforordningen, vil
behandlingen være ulovlig.
3.2 Spørsmålet om anvendelse av forskrift for kameraovervåking i virksomhet
Datatilsynet har vurdert avviksmeldingen fra Coop Finnmark SA etter de generelle reglene i
forordningen, og ikke de spesielle reglene i forskrift for kameraovervåking i virksomhet. 2 Vi
vil i det følgende begrunne lovvalget.
Personvernforordningens artikkel 88 åpner for at medlemsstatene kan fastsette nærmere regler
for behandling av arbeidstakeres personopplysninger i forbindelse med ansettelsesforhold.
Rekkevidden av særreglene om kameraovervåkning er derfor begrenset til rammen av
ansettelsesforhold. Dette presiseres også av departementet i forarbeidene til ny
personopplysningslov.3 Reglene om kameraovervåking i virksomhet er plassert i
arbeidsmiljølovens kapittel 9, som omhandler arbeidsgivers adgang til å iverksette
1
Se f.eks. PVN 2019-09
2
FOR-2018-07-02-1107.
3
Prop. 56 LS (2017-2018), punkt 31.3.3.3
4
kontrolltiltak i sin virksomhet. Forskrift om kameraovervåking i arbeidsforhold er gitt med
hjemmel i arbeidsmiljøloven § 9-6.
Hverken arbeidsmiljøloven § 9-6 eller forskriften inneholder noen definisjon av begrepet
«kameraovervåking i virksomhet». I forarbeidene til ny personopplysningslov skriver
departementet i tilknytning til dette at kameraovervåking som foretas av andre enn
arbeidsgiver, vil falle utenfor, selv om kameraet også fanger opp arbeidsplasser». Videre
skriver de:
«På den andre siden vil det ikke være avgjørende at arbeidsgiver selv setter opp
og/eller administrerer selve overvåkingen. Det vil være tilstrekkelig at overvåkingen
skjer i forståelse med arbeidsgiver, er i arbeidsgivers interesse og at formålet (blant
annet) er å overvåke arbeidsgivers virksomhet. Et typisk eksempel vil være
overvåking av butikklokale i et kjøpesenter, hvor overvåkingen administreres av
senterselskapet».
I vurderingen av om forskriften kommer til anvendelse skriver departementet:
«For det andre vil det være et vilkår at overvåkingen kan anses som et kontrolltiltak i
arbeidsmiljølovens forstand. Departementet mener derfor at kameraovervåking som
ikke, eller i svært liten grad, vil kunne anses som en belastning for arbeidstakerne
personlige integritet, vil falle utenfor reglenes anvendelsesområde, altså selv om den
skjer «i virksomhet», jf. formålet med reguleringen i arbeidsmiljøloven kapittel 9».
Det betyr at viderebehandlingen av personopplysninger som er samlet inn gjennom
kameraovervåkingen som i utgangspunktet faller inn under forskriftens virkeområde, ikke
gjelder dersom viderebehandlingen (i dette tilfellet utlevering) kun gjelder
personopplysninger om andre enn arbeidstakere.
På bakgrunn av at forordningens artikkel 88 kun åpner for å gi nærmere regler for behandling
av arbeidstakeres personopplysninger i forbindelse med ansettelsesforhold, det faktum at
forskriftene er hjemlet i arbeidsmiljølovens kapittel som regulerer arbeidsgivers adgang til å
iverksette kontrolltiltak i virksomhet, og uttalelsene i forarbeidene, er Datatilsynets vurdering
at forskriften ikke er riktig regelverk å anvende i denne konkrete saken.
Utleveringen av bildene som ble gjort av Coop Finnmark omfattet ikke personopplysninger
om noen av virksomhetens ansatte. Ettersom det ikke foreligger et arbeidsforhold mellom de
registrerte og virksomheten er det dermed de generelle reglene i personopplysningsloven og
personvernforordningen som kommer til anvendelse.
4. Datatilsynets vurderinger og begrunnelse for vedtak
4.1 Innledning
Det er klart at det har skjedd en behandling av personopplysninger som faller innenfor
virkeområdet til personopplysningsloven og personvernforordningen, jf. lovens § 2 og
5
forordningens artikkel 2. Personopplysningsloven og personvernforordningen kommer
dermed til anvendelse.
Det fremgår av definisjonen i personvernforordningen artikkel 4 nr. 2 at en behandling er
enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger. Vi vurderer
det som at det har skjedd en behandling av personopplysninger i to ledd. Det første leddet i
behandlingen skjedde da butikksjefen filmet opptakene med sin private mobiltelefon. Det
andre leddet i behandlingen skjedde da butikksjefen sendte opptaket han hadde gjort, videre
til en bekjent. Vi vil i det følgende betrakte disse handlingene som en samlet behandling av
personopplysninger. Formålet med behandlingen av personopplysningene var å identifisere
den avbildede personen for å oppklare en mulig straffbar handling.
Datatilsynet mener at Coop Finnmark ikke hadde behandlingsgrunnlag for behandlingen av
personopplysninger. Dette vil begrunnes i det følgende.
4.2 Vurdering av behandlingsgrunnlag
Rutinene til Coop Finnmark viser at virksomheten mener å ha behandlingsgrunnlag i artikkel
6 nr. 1 bokstav f for kameraovervåkingen i butikkene. Vi viser til punkt 3 i virksomhetens
rutine for kameraovervåking.
Utlevering av kameraopptak er en ny behandling som krever et nytt behandlingsgrunnlag. I
virksomhetens rutine for kameraovervåking er det angitt at utlevering kun kan skje ved
skriftlig grunnlag for utlevering. Det er uklart hva virksomheten legger i denne formuleringen.
Dersom grunnlaget for utlevering er samtykke fra den registrerte, foreligger det rutiner for
utleveringen. Rutinene virker å oppstille et unntak fra kravet om skriftlig grunnlag for
utlevering dersom mottakeren er politiet, og utleveringen skjer i forbindelse med etterforsking
av en straffbar handling eller ulykke.
Virksomheten har ikke selv fremhevet at den har behandlingsgrunnlag for utleveringen, men
derimot meldt utleveringen som et avvik til Datatilsynet. Utleveringen beskrives i
avviksmeldingen som et avvik fra virksomhetens interne rutiner. Vi legger til grunn at
virksomheten selv ikke vurderer at den har behandlingsgrunnlag for utleveringen.
Vi vil likevel foreta en selvstendig vurdering av dette vilkåret. Vi legger til grunn at det
aktuelle behandlingsgrunnlaget for utlevering er artikkel 6 nr. 1 bokstav f (se vår presentasjon
av bestemmelsen og den interesseavveiningen som den legger opp til, over i avsnitt 3.1).
Dette er i tråd med Personvernnemndas praksis i tilsvarende saker. 4 Interessene til
virksomheten for behandlingen av personopplysninger må her veies mot de registrertes rett til
personvern. Etter ordlyden i artikkel 6 nr. 1 bokstav f skal det legges særlig vekt på den
registrertes interesser og grunnleggende rettigheter dersom den registrerte er et barn.
Lovens krav om at behandlingen må være nødvendig for formål knyttet til den
behandlingsansvarliges berettigede interesse, innebærer at interessen som forfølges av den
behandlingsansvarlige må være lovlig og reelt begrunnet i virksomheten. Både rettslige,
4
PVN-2019-09
6
økonomiske eller ikke-materielle interesser kan være berettigede, jf. Personvernrådets
«Guidelines 3/2019 on processing of personal data through video devices», avsnitt 18.
Nødvendighetsvilkåret innebærer videre et krav om at formålet ikke kan oppnås på en mindre
personverninngripende måte.
Det første spørsmålet er om behandlingen er nødvendig for formål knyttet til den
behandlingsansvarliges berettigede interesse. Formålet med utleveringen var å identifisere
personer som stjal fra butikken. Det er klart at det er i butikkens interesse å avdekke hvem
som har utført tyverier i virksomheten. Det er imidlertid også klart at det ikke er nødvendig å
utlevere kameraopptak til utenforstående, all den tid det vil kunne være mulig å oppklare
tyveriet og identifisere personene ved å anmelde forholdet til politiet. En anmeldelse vil
kunne innebære at virksomheten må utlevere opptakene til politiet, for å sikre politiets
etterforskning av forholdet. Det kan derfor stilles spørsmål ved om utleveringen er nødvendig
for å forfølge virksomhetens interesse.
Datatilsynet mener at de registrertes rett til personvern i det foreliggende tilfellet uansett veier
tyngre enn virksomhetens interesse. Vi har lagt avgjørende vekt på at det er barns
personopplysninger som ble behandlet. Vilkårene i artikkel 6 nr. 1 bokstav f er dermed
uansett ikke oppfylt.
I denne vurderingen legger vi vekt på de registrertes rimelige forventninger, i tråd med
Personvernrådets «Guidelines 3/2019 on processing of personal data through video devices»
avsnitt 35. Vi legger til grunn at det er skiltet i butikkene at det foregår kameraovervåking, i
tråd med virksomhetens interne rutiner for kameraovervåking punkt 1.
Personer som oppholder seg i butikken har dermed en rimelig forventning om at de blir
filmet. Kameraovervåking i butikk er ikke uvanlig. Det vil heller ikke være uvanlig at en
butikk med kameraovervåking som fanger opp et tyveri eller andre ulovlige handlinger,
utleverer opptakene til politiet. De fleste har imidlertid ingen forventning om at slike opptak
utleveres til andre personer som ikke jobber for politiet eller har noen annen form for
befatning med forfølgelse av straffbare forhold. Slik avviksmeldingen fra virksomheten viser,
tar det ikke lang tid fra den opprinnelige utleveringen til opplysningene når den registrerte
selv. Dette viser skadepotensialet ved utlevering av personopplysninger mellom
mobiltelefoner.
Datatilsynet viser til Personvernnemndas avgjørelse i PVN-2019-09. Faktum i
nemndsavgjørelsen og denne saken er noe forskjellige. I nemndsavgjørelsen publiserte
butikken et stillbilde fra et overvåkingskamera på Facebook, med formål om å identifisere en
person som stjal julepynt utenfor butikken. En publisering på Facebook vil raskt nå et stort
antall personer. En deling av et bilde fra en mobiltelefon til en annen vil gjennom ett trinn kun
nå en person, og vil ikke ha den samme funksjonen som tilsvarer en «offentlig gapestokk».
Samtidig mister avsenderen raskt kontrollen over personopplysningene, og det er enkelt å dele
disse videre. Det beskrevne i avviksmeldingen og redegjørelsen i den foreliggende saken viser
nettopp dette. Skadepotensialet ved en utlevering, og inngrepet i den enkeltes personvern, vil
oppleves som stort.
7
Datatilsynet legger stor vekt på at de avbildede er barn. Det følger av
personvernforordningens fortalepunkt 38 at «barns personopplysninger fortjener et særlig
vern, ettersom barn kan være mindre bevisste på aktuelle risikoer, konsekvenser og garantier
samt på de rettigheter de har når det gjelder behandling av personopplysninger». Også barn
som utfører ulovlige handlinger, som et mindre tyveri fra en butikk, har rett til personvern.
Datatilsynet legger videre vekt på at den behandlingsansvarlige selv har vurdert at det ikke
foreligger et behandlingsgrunnlag etter forordningen. Virksomheten har i avviksmeldingen
dessuten vist til at utleveringen har skjedd i strid med virksomhetens egne rutiner for
behandling av personopplysninger samlet inn gjennom kameraovervåking.
De registrertes personverninteresser veier i dette tilfellet tyngre enn virksomhetens interesse i
å utlevere opptakene.
Vi kan heller ikke se at det er noen andre behandlingsgrunnlag som vil være mer nærliggende
eller egnet for utleveringen av personopplysninger i denne saken.
Utleveringen er således i strid med artikkel 6 nr. 1 bokstav f.
4.3 Vurdering av lovlighetsprinsippet i artikkel 5 nr. 1 bokstav a
Kravet om at en behandling må være lovlig, innebærer at den må ha et rettslig grunnlag i
personvernforordningen. En behandling av personopplysninger uten behandlingsgrunnlag vil
uten videre være ulovlig, og dermed være i strid med det grunnleggende kravet i prinsippet i
artikkel 5 nr. 1 bokstav a.
Som vist over finner vi at det ikke forelå et behandlingsgrunnlag for denne utleveringen, slik
at behandlingen dermed er i strid med prinsippet om lovlighet.
4.4 Virksomhetens merknader til vurdering av behandlingsgrunnlag
Virksomheten har ingen merknader eller tilsvar til vurderingen av hvorvidt det forelå et
behandlingsgrunnlag for utleveringen av personopplysninger. Virksomheten innrømmer selv
at hendelsen innebar et brudd på Coops gjeldende rutiner for kameraovervåking. Datatilsynet
legger derfor til grunn at det ikke er uenighet om dette spørsmålet.
4.5 Overtredelsesgebyr
4.5.1 Generelt om vurderingen
Overtredelsesgebyr er et virkemiddel for å sikre effektiv etterlevelse og håndhevelse av
personopplysningsregelverket. Vi mener det er nødvendig å reagere på overtredelsen, og
ilegger med dette overtredelsesgebyr (jf. personvernforordningen artikkel 83).
I samsvar med Høyesteretts praksis (jf. Rt. 2012 s. 1556) legger vi til grunn at
overtredelsesgebyr er å anse som straff etter den europeiske menneskerettighetskonvensjonen
8
artikkel 6. Det kreves derfor klar sannsynlighetsovervekt for lovbrudd for å kunne ilegge
gebyr.
Ved vurderingen av om det skal ilegges gebyr og ved utmålingen skal Datatilsynet ta hensyn
til momentene i personvernforordningen artikkel 83 nr. 2 bokstav a til k. Datatilsynet kan
ilegge overtredelsesgebyr etter en skjønnsmessig helhetsvurdering, men de opplistede
momentene legger føringer på skjønnsutøvelsen ved å trekke frem momenter som skal
tillegges særlig vekt.
Vi vil i det følgende gå gjennom de vilkårene som er relevante for faktum i denne saken. Vi
vil gjengi merknadene fra virksomhetens representant løpende under de enkelte momentene.
4.5.2 Artikkel 83 nr. 2 bokstav a: «Karakteren, alvorlighetsgraden og varigheten av
overtredelsen, i det det tas hensyn til den berørte behandlingens art, omfang eller formål
samt antall registrerte som er berørt, og omfanget av den skade de har lidd»
Virksomheten anfører at videosnutten er kort, og at den ikke viser et lovbrudd. Det er et
begrenset omfang av personer som fanges opp. Utleveringen var et engangstilfelle, og det kan
ikke dokumenteres at enkelttilfellet har medført noen skade.
Datatilsynet er enige med virksomheten i at videoklippet som ble gjenstand for videre deling
ikke automatisk gir grunnlag for å slutte at det fanges opp en straffbar handling. Imidlertid vil
konteksten kunne etterlate et inntrykk av at det har skjedd noe ulovlig, i og med at
butikksjefen filmer videoklippet og stiller spørsmål for å identifisere den avbildede personen.
Datatilsynet vurderer overtredelsen som grov. Overtredelsen innebærer et brudd på det
grunnleggende kravet om lovlighet ved en behandling. Bruddet berører barn, som er gitt et
særskilt vern i personvernregelverket. Informasjon om hendelsen og hvorfor klippet har blitt
spredt kan likevel spre seg raskt sammen med de delte personopplysningene. Selve grunnlaget
for delingen har vært å identifisere personer for å oppklare et forhold som ble anmeldt.
Bruddet har berørt et mindre antall registrerte, og det er uklart hvilket skadeomfang som
følger av overtredelsen. Samtidig vil et brudd som dette kunne føre til skade på omdømmet til
de registrerte, ryktespredning og offentlig uthenging. Utleveringen er i seg selv egnet til å føre
til alvorlige konsekvenser. For barn vil disse konsekvensene oppleves som mer skadelige enn
for voksne, som ofte har en sikrere følelse av identitet og tilhørighet.
Den aktuelle behandlingen er videre et brudd på virksomhetens interne retningslinjer for
utlevering av personopplysninger fra kameraovervåkning, noe som øker alvorligheten ved
hendelsen.
Datatilsynet legger også vekt på at butikksjefen tok i bruk sin egen mobiltelefon for å filme
opptaket, som han deretter delte videre. Private mobiltelefoner er ofte tilknyttet skybaserte
lagringstjenester, noe som kan føre til at filer blir lagret på flere enheter. Personen som eier
telefonen vil derfor lettere kunne miste oversikten over hvor filen befinner seg. Dette øker
risikoen for spredning av personopplysningene, og dermed også alvorlighetsgraden av
overtredelsen.
9
4.5.3 Artikkel 83 nr. 2 bokstav b: «Hvorvidt overtredelsen ble begått forsettlig eller
uaktsomt»
Virksomheten anfører at det ikke kan påvises at det forelå forsett med hensyn til både
handlingen i seg selv, og med hensyn til handlingen utgjorde et lovbrudd. Videre skriver
virksomheten at butikksjefen «spontant [sendte] en del av et videopptaket til en annen ansatt i
Coop-systemet.»
Virksomheten skriver at selv om denne handlingen anses som utlevering av
personopplysninger, kan det ikke kreves at butikksjefen har hatt et bevisst forhold til at deling
innad i virksomheten utgjør en behandling av personopplysninger. Virksomheten anfører også
at butikksjefen ikke har hatt forsett med hensyn til følgene av behandlingen, som innebar at
opptaket ble spredt videre. Avslutningsvis anfører virksomheten at butikksjefen har utvist
rettsuvitenhet om et komplisert regelverk, noe som trekker i retning av uaktsomhet fremfor
forsett.
Det er ikke et vilkår for ileggelse av overtredelsesgebyr at det foreligger subjektiv skyld hos
overtrederen. Det vises i denne sammenheng til kapittel IX i forvaltningsloven om
administrative sanksjoner. Med en administrativ sanksjon menes en negativ reaksjon som kan
ilegges av et forvaltningsorgan, som retter seg mot en begått overtredelse av lov, forskrift
eller individuell avgjørelse, og som regnes som straff etter den europeiske
menneskerettskonvensjonen (EMK).
For foretak er skyldvurderingen særegen. I forvaltningsloven § 46 første ledd heter det:
«Når det er fastsatt i lov at det kan ilegges administrativ sanksjon overfor et foretak
kan sanksjonen ilegges selv om ingen enkeltperson har utvist skyld.»
I Prop. 62 L (2015-2016) side 199 uttales det om § 46: «Formuleringen om at ‘ingen
enkeltperson har utvist skyld’ er hentet fra paragrafen om foretaksstraff i straffeloven § 27 og
skal forstås på samme måte. Ansvaret er derfor som utgangspunkt objektivt».
Juridiske personer som sådan kan ikke utvise skyld. Dette momentet i artikkel 83 gjør det
imidlertid klart at det kan legges vekt på hvor klanderverdig handlingen er. I henhold til den
gjeldende veilederen fra Det europeiske personvernrådet må graden av skyld utledes av
objektive holdepunkter knyttet til handlingene i den konkrete saken. 5 I tilfeller der en person
har handlet på vegne av en virksomhet, vil grensedragningene knyttet til forsett og
uaktsomhet dermed knyttes til hvor mye skyld det kan utledes at den handlende
representanten utviste i handlingene som førte til overtredelsen.
Som utgangspunkt kan det skisseres en grense mellom brudd på regelverket som følge av et
uhell eller en ondsinnet inntrenging, som for eksempel kunne oppstå som følge av iboende
svakheter i et datasystem. På den andre siden av skalaen vil man finne planlagte overtredelser,
5
17/EN WP 253 s. 12
10
der personer med ledende stillinger i sentrale deler av en virksomhet bevisst og planlagt har
overtrådt lovverket.
Datatilsynet mener at handlingene som førte til bruddet er klart klanderverdige. Behandlingen
ble utført av en person i en ledende stilling, gjennom en bevisst handling, og ikke som følge
av et uhell. Vi finner det som nevnt over klanderverdig at butikksjefen filmet opptaket med
sin private telefon. Denne filmingen er i seg selv en enkeltstående behandling av
personopplysninger, i det opptaket fra det originale systemet er kopiert ved hjelp av en ekstern
enhet.
Vi vil også bemerke at selv om denne enkeltstående handlingen ikke skulle utgjøre en
overtredelse av virksomhetens egne rutiner, utgjør det en behandling av personopplysninger
som må oppfylle kravene i loven for å være lovlig. Virksomheten kan ikke høres med at det
forelå rettsvillfarelse. Rettsvillfarelse er ikke unnskyldelig med mindre rettsvillfarelsen er
aktsom, noe den etter vårt syn ikke er i saken. En butikksjef innehar etter rutinene det ledende
ansvaret for overholdelse av regelverket, som innbefatter både personopplysningsloven og de
interne rutinene i virksomheten.
Videre vil vi påpeke at det fremstår som en overskuelig konsekvens at et delt videoklipp vil
deles videre, særlig dersom formålet med den opprinnelige delingen er å identifisere en eller
flere personer.
Det kan ikke konkluderes med at det foreligger forsett med hensyn til handlingens ulovlighet
eller følgene av handlingen. Det er imidlertid ikke snakk om et strafferettslig forsettsbegrep,
men en kategorisering av den klanderverdige oppførselen på en skala. Basert på de objektive
holdepunktene som kan utledes av handlingene, mener Datatilsynet at det uansett er utvist
grov uaktsomhet av en ledende person i virksomheten. Denne grovheten trekker i skjerpende
retning.
4.5.4 Artikkel 83 nr. 2 bokstav c: «Eventuelle tiltak truffet av den
behandlingsansvarlige eller databehandleren for å begrense skaden som de
registrerte har lidd»
I avviksmeldingen beskriver virksomheten at alle kjente involverte ble kontaktet og bedt om å
slette eventuelle opptak. Butikksjefen ringte alle berørte parter og beklaget det inntrufne. I
redegjørelsen forklarer Coop Finnmark at de har kontaktet «foresatte til den personen som
stjal».
Vi er enige i at virksomheten har foretatt seg viktige og påkrevde tiltak i etterkant av avviket,
og mener at dette taler i formildende retning.
4.5.5 Artikkel 83 nr. 2 bokstav d: «Den behandlingsansvarliges eller databehandlerens
grad av ansvar, i det det tas hensyn til de tekniske og organisatoriske tiltak de
har gjennomført i henholdt til artikkel 25 og 32»
11
Virksomheten har retningslinjer for bruk av kameraovervåking, herunder regler for utlevering
av opptak. Rutinene gir anvisning på at utlevering av personopplysninger kan skje når
«grunnlaget for utleveringen finnes», eller om det finnes «skriftlig grunnlag for utlevering».
Deretter følger to setninger som omhandler skriftlig samtykke fra avbildede og utlevering til
politiet i forbindelse med etterforskning av straffbar handling eller ulykke.
Virksomheten selv mener at rutinene ikke er uklare. Det anføres at forståelsen av «skriftlig
grunnlag» må settes i sammenheng med de to etterfølgende setningene, som omhandler
skriftlig samtykke og utlevering til politiet.
Datatilsynet mener at språket i avsnittet i rutinene ikke er klart nok, men snarere er egnet til å
forvirre. Det står ikke i klartekst hva som regnes for å være et skriftlig grunnlag som gir
mulighet for utlevering. Det må fremgå klart hva som er et rettslig grunnlag som gir grunn til
å utlevere personopplysningene. Pedagogisk utformede og sammenhengende rutiner er viktig
for at alle ansatte skal forstå hvorfor rutinene skal følges, og sikre at de faktisk overholdes.
Det er imidlertid ikke grunn til å legge videre vekt på rutinenes uklarhet i saken, da det ikke er
grunnlag for å konkludere med at rutinene i seg selv har sammenheng med den ulovlige
utleveringen. Datatilsynet mener derfor fremdeles at dette momentet hverken trekker i
skjerpende eller formildende retning.
Virksomheten opplyser i redegjørelsen datert 21. oktober at det har blitt avholdt et møte om
hendelsen, der retningslinjene ble gjennomgått. Videre står det at «interne rutiner er gått
gjennom i møte med alle butikksjefene».
Det er ikke opplyst hvilken opplæring som har blitt avholdt i forkant av avviket, og hvordan
ledelsen i virksomheten har sørget for at mellomledere, som butikksjefen, faktisk kjenner til
disse. Uklarheter og sviktende rutiner for opplæring kan lett lede til overtredelser. Det er
imidlertid vanskelig å si noe om opplæring og annen gjennomgang har en sammenheng med
den ulovlige utleveringen i denne konkrete saken. Dette momentet trekker derfor hverken i
skjerpende eller formildende retning.
4.5.6 Artikkel 83 nr. 2 bokstav e: «Eventuelle relevante tidligere overtredelser begått
av den behandlingsansvarlige eller databehandleren»
Virksomheten anfører at utleveringen utgjør en første gangs overtredelse, og at dette må virke
formildende i den totale vurderingen.
Datatilsynet finner ikke at dette momentet taler i hverken skjerpende eller formildende
retning.
12
4.5.7 Artikkel 83 nr. 2 bokstav f: «Samarbeid med tilsynsmyndigheten»
Retningslinjene fra Personvernrådet angir at det ikke kan vektlegges at en virksomhet
samarbeider med tilsynsmyndigheten i henhold til gjeldende rett.6
Virksomheten skriver at de har samarbeidet med tilsynsmyndigheten og redegjort for saken
etter beste evne, både uoppfordret og ved forespørsel om mer informasjon.
Datatilsynet finner ikke at dette momentet kan tale i formildende retning, ettersom
virksomheten er pålagt å besvare spørsmålene.
4.5.8 Artikkel 83 nr. 2 bokstav g: «Kategorien av berørte opplysninger»
Virksomheten anfører at det må virke formildende at ansiktene til personene ikke vises, og at
det kun var mulig å identifiser personene ut fra hår, påkledning og skotøy. Videre mener
virksomheten at nøyaktigheten i opplysningene var lav, ettersom personen som først fikk
tilsendt videoen ikke var i stand til å kjenne igjen sin sønn på videoen.
Datatilsynet viser til vurderingene gitt under momentet i artikkel 83 nr. 2 bokstav a. Vi mener
at det ikke har noen betydning hvorvidt det er ansiktet eller påkledningen som gjør det mulig
å identifisere en person; personen er fremdeles identifiserbar utfra de utleverte opplysningene.
Det er ikke oppstilt noe skille mellom «umiddelbart identifiserbare» personer og personer som
det vil ta noe lengre tid å kjenne igjen i et kameraopptak.
4.5.9 Artikkel 83 nr. 2 bokstav h: «På hvilken måte tilsynsmyndigheten fikk kjennskap
til overtredelsen, særlig om og eventuelt i hvilken grad den
behandlingsansvarlige eller databehandleren har underrettet om overtredelsen»
Virksomheten har selv meldt avviket til Datatilsynet. Virksomheten mener at dette ikke kan
trekke i skjerpende retning. Det anføres at en streng sanksjonspraksis kan svekke tilliten
mellom tilsynsmyndigheter og behandlingsansvarlige, og i verste fall medføre at avvik og
brudd ikke meldes som forutsatt.
Retningslinjene peker på at det ikke kan virke formildende at en virksomhet overholder sine
forpliktelser etter forordningen om å melde avvik. 7 Vi mener derfor at det hverken kan tale i
skjerpende eller formildende retning at virksomheten har meldt inn bruddet på
personopplysningssikkerheten til Datatilsynet. Både virksomheter og tilsynsmyndigheter vil
være tjent med en lav terskel for å melde avvik.
4.5.10 Artikkel 83 nr. 2 bokstav k: «Enhver annen skjerpende eller formildende faktor
ved saken, f.eks. økonomiske fordeler som er oppnådd, eller tap som er unngått,
direkte eller indirekte, som følge av overtredelsen»
6
17/EN WP 253 s. 14
7
17/EN WP 253 s. 14
13
Datatilsynet har ikke kjennskap til andre skjerpende eller formildende faktorer ved saken som
vil påvirke utfallet av vurderingen.
4.5.11 Praksis fra andre tilsynsmyndigheter
Virksomheten viser i sine merknader til tre avgjørelser om ileggelse av overtredelsesgebyr fra
andre tilsynsmyndigheter. To av disse er ilagt av den svenske Datainspektionen; DI-2019-
2221 og DI-2018-22737. Den siste er et overtredelsesgebyr ilagt av tilsynsmyndigheten i den
tyske delstaten LfDI Baden-Württemberg. Det fremheves at nivået på gebyrene i disse sakene
indikerer at det varslede gebyret i den foreliggende saken er for høyt.
De tre anførte sakene omhandler svært ulike fakta sammenlignet med den foreliggende saken,
noe som gjør at overføringsverdien er liten. Datatilsynet er enige i at man skal søke å
harmonisere forvaltningspraksis på tvers av tilsynsmyndighetene i EØS-landene. Det er
imidlertid på det rene at hver sak om overtredelsesgebyr vil være svært ulik, og derfor må
være begrunnet i konkrete omstendigheter ved den enkelte sak. Datatilsynet finner ikke grunn
til å legge vekt på de anførte sakene for utmålingen av overtredelsesgebyr i den foreliggende
saken. Vurderingene i disse sakene er ikke styrende for våre vurderinger av om det skal
ilegges gebyr i denne saken, eller av størrelsen på gebyret.
4.5.12 Oppsummering og konklusjon
Etter en helhetsvurdering av avvikets omfang, karakter og alvorlighetsgrad, har Datatilsynet
kommet til at overtredelsesgebyr bør ilegges, jf. personvernforordningen artikkel 83 nr. 2 og
5.
Vi viser til at det tidligere har blitt ilagt overtredelsesgebyr for lignende tilfeller av ulovlig
utlevering, og at likhetshensyn tilsier at overtredelsen bør sanksjoneres med
overtredelsesgebyr. Vi har lagt særlig vekt på at det er barns personvern som er krenket av
utleveringen.
6. Vurdering av gebyrets størrelse
Ved utmåling av gebyrets størrelse skal det legges vekt på de samme vurderingsmomentene
som er gjennomgått i vedtakets punkt 4.5. Vi viser derfor til vurderingene gjort ovenfor.
Overtredelsesgebyret skal være virkningsfullt, stå i et rimelig forhold til overtredelsen og
virke avskrekkende. Gebyret skal oppleves som et onde. Dette innebærer at
tilsynsmyndigheten skal gjøre en konkret, skjønnsmessig vurdering i hvert enkelt tilfelle. Vi
viser til personvernforordningens fortalepunkt 148, hvor det fremgår at det bør ilegges
sanksjoner, herunder overtredelsesgebyr, ved overtredelse av forordningen.
Utleveringen skjedde som et engangstilfelle, og opptaket ble gjennom handlingen til
butikksjefen bare delt med én person. Likevel ble opptaket delt videre, og nådde til slutt
barnet selv. Dette viser den reelle faren for at opplysningene spres videre. Det skal bare et par
klikk til før personopplysninger er spredt til et stort antall mennesker gjennom mobiltelefoner.
14
Utleveringen gjelder barns personopplysninger, som skal nyte et særlig sterkt vern. Vi har
derfor lagt betydelig vekt på dette momentet. Det er videre snakk om en overtredelse som
følge av en uaktsom handling, utført av en person i en ledende stilling. Det er virksomhetens,
og den som handler på virksomhetens vegnes, ansvar å sette seg inn i reglene for
kameraovervåking, herunder reglene for utlevering.
Også virksomhetens økonomiske evne vil være av betydning, selv om det ikke er aktuelt å
utnytte det spennet i overtredelsesgebyrets størrelse som følger av artikkel 83. nr. 5.
Virksomheten hadde driftsinntekter på kr. 1 033 257 000 i 2018. Resultatet var kr.
52 489 000.8
Liknende saker, som den tidligere nevnte PVN-2019-09, omhandlet virksomheter med
betydelig lavere omsetning. I PVN-2019-09 hadde virksomheten et driftsresultat på kr 1,5
millioner. Gebyret ble satt til kr 50 000.
Coop Finnmarks SAs økonomiske situasjon er i en særstilling. For at gebyret skal oppleves
som et onde, slik at de preventive hensynene bak overtredelsesgebyr som reaksjonsform
ivaretas, må gebyret ligge høyere enn det som tidligere har vært tilfelle i saker med liknende
faktum.
Vi mener imidlertid at gebyret allerede er satt til en lav sum, der vi har tatt i betraktning at det
har skjedd én overtredelse. Sammenlignet med virksomhetens omsetning er gebyret lavt. Det
må imidlertid ha en viss størrelse for å kunne oppfylle formålet som er fastsatt i
personvernforordningen artikkel 83.
Etter dette har vi kommet til at vi opprettholder det varslede gebyret på kr 400 000.
7. Inndrivelse av overtredelsesgebyr
Overtredelsesgebyret forfaller til betaling fire uker etter at vedtaket er endelig, jf.
personopplysningsloven (2018) § 28. Vedtaket er tvangsgrunnlag for utlegg. Inndrivelse av
kravet vil bli gjennomført av Statens innkrevingssentral.
8. Klageadgang
Dere kan klage på vedtaket. En eventuell klage må sendes til oss innen 28. januar 2021, jf.
forvaltningsloven §§ 28 og 29. Dersom vi opprettholder vårt vedtak, vil vi sende saken til
Personvernnemnda for klagebehandling, jf. personopplysningsloven § 22.
9. Innsyn og offentlighet
Dere har rett til innsyn i sakens dokumenter, jf. forvaltningsloven § 18. Vi vil også informere
dere om at alle dokumentene i utgangspunktet er offentlige, jf. offentlighetsloven § 3, men
8
Tallene er hentet fra proff.no per 13.01.2020
15
understreker samtidig at sikkerhetsdokumentasjon som hovedregel er unntatt offentlighet, jf.
offentlighetsloven § 13 og forvaltningsloven § 13 første ledd nr. 2.
Med vennlig hilsen
Jørgen Skorstad
avdelingsdirektør
Embla Helle Nerland
juridisk rådgiver
Dette brevet er godkjent elektronisk i Datatilsynet og har derfor ingen signatur.
16