Kontrollrapport
Saksnummer: 23/02028 Kontrollobjekt: Utarbeidet av:
Dato for kontroll: 01.06.2023 Fast Candy Marte Lindblad Skaslien og
Rapportdato: 05.09.2023 Sted: Jeanette Dyrkorn
VIA Vika
Sammendrag
En av prioriteringene for Datatilsynet i 2023, er å gjennomføre stedlig kameratilsyn hvor
kameraovervåkingen påvirker ansatte. Vi har særlig fokus på kameratilsyn der mindreårige
arbeidstakere er berørt.
Vi har per i dag fått tre tips om kameraovervåkingen i godteributikken Fast Candy på Via
Village, Vika.
Ifølge tipsene er de fleste ansatte under 18 år, og kameraene brukes til å overvåke ansatte.
Kameraovervåkingen, inkludert lydopptak, skal bli brukt mot dem i personalsaker.
De viktigste funnene gjelder plassering og vinkling av kamera, og hvilke funksjonaliteter
kameraene hadde.
1 Innledning
Vi skulle gjennomføre et uanmeldt tilsyn i butikklokalene til Fast Candy AS, VIA Vika, den
31. mai kl. 13. Da vi ankom snakket vi med daglig leder på telefon, og han hadde ikke
mulighet til å møte oss før dagen etter. Vi informerte han om at vi ville gjennomføre
forundersøkelser av lokalet, og vi avtalte møtetidspunkt for neste dag.
Under forundersøkelsene 31. mai, så vi over lokalene, og vi tok bilder av de to kameraene vi
fant, for å dokumentere kameraenes plassering og vinkling. Vi tok også bilder av skilt ved
inngangsparti og to mindre lapper ved en godterihylle.
Vi gjennomførte deretter tilsyn i butikklokalene 1. juni 2023 kl. 10:50. Vi har avgrenset
tilsynet til hvordan kameraene påvirker de ansatte. Altså vinklingen av kameraene, hvilke
funksjoner de har, om og hvordan ansatte er informert, skriftlige rutiner for kameraovervåking
og hvordan kameraovervåkingen brukes i praksis.
Ifølge offentlige tilgjengelige kilder, er det 27 ansatte i virksomheten. Virksomheten ble stiftet
29. mars 2021.
Ifølge daglig leder, åpnet de butikken på Vika i november 2022. I ettertid har de åpnet butikk i
Sandvika, og de har tidligere hatt butikk på Bekkestua.
I det følgende beskriver vi funnene våre fra tilsynet med Fast Candy VIA Vika.
Tilsynsrapporten danner grunnlag for vedtakene i saken. Virksomheten har ikke hatt
merknader til den foreløpige kontrollrapporten vi sendte den 19. juni 2023. Den endelige
rapporten er derfor i hovedsak lik den foreløpige rapporten.
1 av 15
2 Reglene for kameraovervåking
2.1 Plikt til å fastsette formål og begrense bruk til fastsatte formål
Før en virksomhet tar i bruk kameraovervåking, må det fastsettes et klart definert formål med
hvert enkelt kamera. Dette kommer frem av de generelle reglene om behandling av
personopplysninger i personvernforordningen (GDPR) artikkel 5 nr. 1 bokstav b, jf.
personopplysningsloven § 1.
Kameraovervåkingen kan ikke senere brukes for nye formål som er uforenlig med de
opprinnelige formålene.
2.2 Dataminimeringsprinsippet
Et grunnleggende prinsipp etter personvernregelverket, er at man bare skal samle inn
personopplysninger som er adekvate, relevante og begrenset til det som er nødvendig
formålene de behandles for. Dette står i personvernforordningen artikkel 5 nr. 1 bokstav c.
2.3 Rettslig grunnlag for kameraovervåking
Behandling av personopplysninger er bare lovlig dersom den behandlingsansvarlige kan
påvise et behandlingsgrunnlag (rettslig grunnlag), jf. personvernforordningen artikkel 6 nr. 1.
Det finnes seks ulike rettslige grunnlag etter forordningen. For kameraovervåking, bruk av
fjerntilgang og bruk av lydopptak i virksomhet må det rettslige utgangspunktet baseres på
personvernforordningen artikkel 6 nr.1 bokstav f, den såkalte
interesseavveiningsbestemmelsen.
Dette behandlingsgrunnlaget innebærer at virksomheten kan
behandle personopplysninger dersom det er nødvendig for å vareta en berettiget interesse som
veier tyngre enn hensynet til den enkeltes personvern.
For at «berettiget interesse» kan brukes som rettslig grunnlag for behandlingen, må
behandlingsansvarlige for det første forfølge en legitim interesse. Denne berettigede
interessen må være lovlig, klart definert på forhånd, reell og saklig begrunnet i virksomheten.
Personvernnemnda1 har i PVN-2019-09 lagt til grunn at den berettigede interessen må være
lovlig og reelt begrunnet, og både rettslige, økonomiske eller ikke-materielle interesser kan
være berettigede. Videre er det i det europeiske personvernrådets retningslinjer for
kameraovervåking2 lagt til grunn at beskyttelse mot tyveri, vandalisme og kriminelle
handlinger kan utgjøre en berettiget interesse. Dette forutsetter imidlertid at virksomheten
påviser at faren er reell, og ikke kun basert på spekulasjon.
1 Personvernnemnda er klageorgan for avgjørelser fattet av Datatilsynet
2 Guidelines 3/2019 on processing of personal data through video devices. Version 2.0. Adopted on 29 January
2020.
2 av 15
Hvilke interesser som oppfyller dette beror på en helhetlig vurdering av blant annet hvilke
fordeler virksomheten oppnår med behandlingen, hvor viktige interessen er for virksomheten,
om behandlingen har offentlig interesse eller ivaretar den ideelle interesser som kommer flere
til gode3.
Bruken av opplysningene må i tillegg være nødvendig for å ivareta den legitime interessen.
Uttrykket «nødvendig» innebærer et strengt krav.4 Dersom virksomheten vurderer at formålet
kan oppnås på en måte som bedre varetar personvernet, må man velge den behandlingen som
er minst inngripende.
For det tredje må den registrertes grunnleggende rettigheter og friheter ikke overstige den
behandlingsansvarliges interesser. Det må gjøres en konkret vurdering av situasjonen, og den
konkrete påvirkningen behandlingen har på de registrertes personvern. Dette involverer en
objektiv vurdering av de registrertes rimelige forventninger; hva en nøytral tredjeperson med
rimelighet kan forvente av overvåking i en gitt situasjon.5
Dersom en behandling ikke oppfyller de grunnleggende kravene i personvernforordningen, er
behandlingen ulovlig. Alle vilkårene må altså være oppfylt for at behandlingen er tillatt etter
interesseavveiningsbestemmelsen.
2.4 Tilleggsvilkår for områder hvor bare de ansatte ferdes
Forskrift om kameraovervåking i virksomhet av 20. juli 2018 (kameraforskriften) gjelder i
tillegg til de generelle reglene, hvis kameraovervåkingen berører ansatte.
Kameraovervåking av områder hvor bare en begrenset krets av personer ferdes jevnlig er bare
lov hvis det ut fra virksomheten er behov for å forebygge at farlige situasjoner oppstår og
ivareta hensynet til ansattes eller andres sikkerhet, eller det for øvrig er et «særskilt behov».
Dette står i kameraforskriften § 3. Med andre ord må det være snakk om tungtveiende behov
for å kunne overvåke denne typen områder.
2.5 Informasjonsplikt overfor ansatte og andre krav til varsling
Åpenhetsprinsippet i personvernforordningen artikkel 5 nr. 1 bokstav a tilsier at behandlingen
av personopplysninger skal være forutsigbart for den enkelte. Dette innebærer at hver ansatt
skal få klar og tydelig informasjon om behandlingen av sine personopplysninger i henhold til
artikkel 12 og artikkel 13. Informasjonen skal gis på en kortfattet, åpen, forståelig og lett
tilgjengelig måte.
3 Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive
95/46/EC, side 24 og 25.
4 Se for eksempel C-212/13 Rynes, avsnitt 28 som fremhevet i LB-2020-18230 avsnitt 3.4.
5 Guidelines 3/2019 on processing of personal data through video devices, punkt 3.1.3
3 av 15
Ved kameraovervåking skal det ved skilting eller på annen måte gjøres tydelig at stedet blir
overvåket, om overvåkingen eventuelt inkluderer lydopptak og hvem som er
behandlingsansvarlig, jf. kameraforskriften § 4. Skiltene må ha en størrelse, plassering og et
antall som gjør det lett å få med seg at området er overvåket. De skal fortrinnsvis settes der
hvor man går inn i det overvåkede området.
2.6 Plikt til å etablere internkontroll og rutiner
Det følger av personvernforordningen artikkel 24 nr. 1 at den behandlingsansvarlige skal
«gjennomføre egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen
utføres i samsvar med denne forordning.»
Dette betyr at virksomheten har plikt til å etablere internkontroll for å sikre at virksomheten
oppfyller lovens krav til behandling av personopplysninger, inkludert kameraovervåking.
Virksomheten må utarbeide skriftlige rutiner. Rutinene skal blant annet sikre at
kameraovervåkingen kun brukes til formålene den er ment for, at opptak regelmessig slettes,
rutiner for tilgangsstyring og at opptak ikke utleveres i strid med loven.
2.7 Sletteplikt
Ifølge kameraforskriften skal opptak slettes senest én uke etter at opptakene er gjort.
Hvis det er sannsynlig at opptaket vil bli utlevert til politiet i forbindelse med etterforskning
av straffbare handlinger eller ulykker, kan opptakene oppbevares inntil 30 dager.
Opptak gjort på utsalgssteder som benytter betalingsinstrument eller identitetsbevis, skal
slettes senest tre måneder etter at opptakene er gjort.
3 Tilsynsbevis
3.1 Generelt om kameraene
Basert på våre observasjoner, skal de to kameraene være av typen Nedis Smart IP-kamera
med Wifi. Kameraene er beregnet på utendørs hjemmebruk.
Vi verifiserte at det gjøres kontinuerlig opptak.
Fjerntilgang
Under tilsynet fikk vi forklart fra daglig leder og medeier at de begge hadde fjerntilgang til
kameraene via applikasjon på mobiltelefonene deres. Dette ble verifisert, og vi tok bilder av
skjermen da daglig leder var inne i applikasjonen.
Daglig leder opplyste om at vekterne ofte er i andre deler av senteret, og det er derfor viktig at
han har tilgang til kameraene, for å kunne følge opp hendelser raskt. Han forklarte at han har
virksomhet i andre/annet land, og han er sjelden til stede selv i butikken.
4 av 15
Daglig leder forklarte at de opplever mye trykk i butikken, særlig i helgene, og det kan være
lange køer for å komme inn. Det er som regel to ansatte til stede i butikken.
På tidspunktet for tilsynet, var det to ansatte til stede i butikken, som fremstod rolig.
Dersom det oppstår en hendelse i butikken, kontakter de ansatte daglig leder, og han følger
opp fra der han befinner seg.
Lydopptak
Daglig leder forklarte at det ikke er lydopptak.
Vi verifiserte at det gjøres løpende lydopptak, men de må aktivt skru på funksjonen for å høre.
Lydopptak kan skrus på og lyttes til gjennom direkte strømming og det blir i tillegg gjort
kontinuerlig lydopptak som lagres sammen med opptak. Det ble verifisert at lydopptak lagres.
Daglig leder opplyste om at han ikke hadde tenkt over det, og ikke brukt funksjonen.
Funksjon for zooming
Vi verifiserte at kameraene har funksjon for zooming. Kameraene har god bildekvalitet, og
mulighet for å zoome ordentlig inn.
Lagringstid
Daglig leder opplyste om lagringstid på 12 dager.
Undersøkelsene på stedet viste at kameraet bak kassen lagrer opptak i 15 dager. Vi verifiserte
at det ikke er mulig å endre lagringstiden i applikasjonen. Lagringstiden er antagelig avhengig
av størrelse på lagringskort.
3.2 Særlig om kameraet bak kassen
Under tilsynet var kameraet vinklet utover i butikklokalet og nedover mot kassen.
Stikkprøve fra daglig leders applikasjon, viste at kameraet fanger opp området bak kassen, og
området foran kassen, i retning mot inngangen. Vi tok bilde av daglig leders skjerm.
Kameraet fanger opp én frittstående godterihylle, og mindre deler av en hylle langs den ene
veggen.
Daglig leder opplyste om formålene med kameraovervåkingen:
- Tyverier
- Hendelser med pedofile
- Undersøke hendelser der kunder klager på at de ikke har fått med seg en vare de har
betalt for
5 av 15
Daglig leder opplyste om at de har opplevd tyveri i butikken ved flere anledninger. Vekterne
var ofte innom butikken. I starten, før de hadde kameraer, opplevde de tyverier 4-5 ganger per
dag. Etter at de satte opp kameraene, opplever de tyverier noen ganger i uken.
Daglig leder opplyste også om at de har hatt to hendelser med pedofile i butikken, og også
disse gangene var vekterne innom. Det skal ha blitt opprettet saker, og det viste seg at den ene
personen var utestengt fra andre kjøpesentre.
Senere i intervjuet, opplyste medeier at de også bruker kamera hvis kunder klager over avvik
mellom hva de har betalt for og hvilke varer de har fått. Det hender kundene truer med
politianmeldelse. Opptak blir da sjekket for å undersøke om det har skjedd en feil under
handelen.
3.3 Særlig om kameraet på bakrommet
Butikklokalet består av ett rom, hvor et «bakrom»/lagerrom er skjermet fra resten av butikken
med en vegg uten dør. Veggen går ikke helt opp til taket, og det å skulle sikre rommet fysisk
fremstår som en utfordring. Det er kun ansatte som ferdes på bakrommet.
Stikkprøver fra daglig leders applikasjon på telefonen hans, viste at kameraet i hovedsak
fanger opp hele rommet. Vi tok bilde av daglig leders skjerm.
Ut fra egne observasjoner og daglig leders forklaring, oppbevarer de lagerførte godterivarer,
de ansattes vesker, og PC, i dette rommet.
Daglig leder opplyste om formålet med kameraovervåkingen:
- Tyveri
Daglig leder opplyste om at de har opplevd tyveri på bakrommet i åpningstid. Ungdommer
har gått inn i butikken, og videre inn på bakrommet.
Daglig leder opplyste om at det er nødvendig å kameraovervåke hele bakrommet, for å kunne
dokumentere hvor mye som blir stjålet. Han forklarte om en hendelse hvor poser med varer
ble fylt opp.
3.4 Informasjon om kameraovervåkingen
Vi tok bilde av skilt ved inngangsdøren, og av to små lapper ved en godterihylle. På skilt og
lapper var det bilde av kamera og tekst hvor det står «Området er kameraovervåket».
Daglig leder opplyser om at de har «Policy for kameraovervåking» på hjemmesiden sin.
Daglig leder opplyser om at ansatte er informert gjennom arbeidsavtalen, og at de informeres
muntlig ved ansettelse.
6 av 15
3.5 Rutiner og internkontroll
Daglig leder opplyser om at de har rutiner for når de sjekker opptak, men virksomheten kunne
ikke fremlegge dette.
Daglig leder opplyser om at han ringte veiledningstjenesten til Datatilsynet og satte opp
kamera i november 2022.
3.6 Bruk av kamera – kontroll av ansatte?
Daglig leder ble konfrontert med noe av innholdet i tipsene vi har mottatt. Ifølge tipsene,
kontrollerer arbeidsgiver de ansattes arbeidsutførelse, og kameraovervåkingen brukes som
underlag mot dem i personalsaker. Daglig leder ble konfrontert med en konkret hendelse hvor
en ansatt hadde sett på mobiltelefon i stedet for å utføre arbeidsoppgaver.
Ifølge tips vi har mottatt, brukes også lydopptak fra kameraovervåkingen mot de ansatte i
personalsaker.
Vi verifiserte at kameraet på bakrommet fanger opp hele rommet. Kameraet bak kassen
fanger opp hva de ansatte gjør bak kassen, og hva de gjør hvis de befinner seg i området foran
kassen.
Daglig leder opplyste om at årsaken til at han vet at ansatte har vært på mobilen i stedet for å
utføre arbeidsoppgaver, er at medeier har sittet ved spiseplassen i etasjen over og observert de
ansatte.
Vi verifiserte at enkelte av sitteplassene i etasjen over har utsikt ned til bakrom og butikken.
Daglig leder opplyste om at han også får tips fra andre ansatte.
4 Tilsynsfunn og avvik fra krav i lovgivningen
4.1 Rettslig grunnlag for kameraovervåking i kundeområdet
Virksomheten må ha rettslig grunnlag for å overvåke butikkområdet, jf.
personvernforordningen artikkel 6 nr. 1 bokstav f. Tilleggsvilkåret om «særskilt behov» etter
kameraforskriften gjelder derimot ikke for dette området, da det er tilgjengelig for kunder.
Vi viser til beskrivelsene ovenfor når det gjelder virksomheten sine bekrivelser av formål og
krav om nødvendighet.
Etter vår vurdering fremstår formålene som gjelder tyverier og vern mot ubehagelige personer
som berettigede. Videre fremstår det nødvendig å overvåke butikkområde for å forebygge og
7 av 15
oppklare tyverier. Vi har forståelse for at unge ansatte ikke ønsker å konfrontere tyver alene,
og at det kan ta tid før vekteren kommer.
Videre ser vi at butikken i perioder er utsatt for «rush», og at lokalet er uoversiktlig i slike
perioder. Virksomheten har dessuten vist til at overvåkingen har effekt på antall tyverier.
Vi mener også det er nødvendig med opptak av situasjonene der ansatte opplever pågående
personer. Vilkåret om nødvendighet er dermed oppfylt, men vi forutsetter at virksomheten
gjør jevnlige vurderinger av hvilke tidspunkter på dagen overvåking er nødvendig, og
beskriver dette i internkontroll, se punkt 5 i vedtaket.
Vi legger også til grunn at de ansatte forventer at kundeområdet er overvåket grunnet tyverier.
Overvåking av kundeområdet fremstår også mindre inngripende enn øvrige områder, selv om
ansatte til tider også befinner seg her. Det kan også være en trygghet for unge ansatte at det
skjer opptak av visse situasjoner.
Dette forutsetter selvsagt at de ansatte får tydelig informasjon om overvåkingen. Videre er det
en forutsetning for lovligheten at overvåkingen bare blir brukt til overnevnte formål.
Oppsummert mener vi kameraovervåking av butikklokalet der kunder befinner seg har rettslig
grunnlag i personvernforordningen artikkel 6 nr. 1 bokstav f, forutsatt at kameraet kun brukes
til å forebygge og oppklare tyverier, eller hendelser som gjelder sikkerhet for ansatte. Vi ser
derfor ikke grunn til å fatte pålegg vedrørende dette.
Virksomheten har imidlertid også opplyst at kunder innimellom klager på at de ikke har fått
med seg en vare de angivelig har betalt for. Virksomheten bruker derfor kamera til å sjekke
om varen er betalt eller om kunden har fått med seg varen. Etter vår vurdering fremstår det
klart at dette formålet ikke er berettiget, da det er en form for kontroll av om den ansatte har
gjort jobben riktig. Videre overstiger personvernhensynet til den ansatte uansett
virksomhetens interesse i å undersøke dette.
Vi vil derfor pålegge å stanse overvåking for dette formålet, da det ikke har rettslig grunnlag,
jf. personvernforordningen artikkel 6 nr. 1 bokstav f, se vedtaket punkt 9.
4.2 Rettslig grunnlag for kameraovervåking bak kassen
Virksomheten må ha rettslig grunnlag for å overvåke bak kassen der den ansatte befinner seg,
jf. personvernforordningen artikkel 6 nr. 1 bokstav f. Videre gjelder tilleggsvilkåret om
«særskilt behov» etter kameraforskriften da det som hovedregel kun befinner seg ansatte bak
kjøpedisken.
Som tidligere fastslått anser vi forebygging og oppklaring av tyverier som berettigede formål.
Det samme gjelder sikkerhet for ansatte.
Vi kan derimot ikke se at området bak kassen er særlig utsatt for tyverier. Her står den ansatte
store deler av tiden, og det er derfor vanskelig å stjele varer herfra. Vi forstår at tyverier
8 av 15
likevel kan skje hvis den ansatte er alene, og må ut i butikklokalet eller lager. Dette er
imidlertid lett å løse ved å flytte eventuelle varer bak disken ut i butikklokalet.
Vi mener derfor det ikke er nødvendig å overvåke bak kassen for å forebygge og oppklare
tyveri fra kunder.
Vi mener heller ikke at det er nødvendig å overvåke bak kassen grunnet pågående og
ubehagelige personer. Det er den ansatte som blir overvåket bak disken, og ikke den pågående
personen. Resterende butikkområdet er uansett filmet, og personen det gjelder blir fanget opp
her. Overvåkingen bak disken er derfor ikke nødvendig.
Vi mener dessuten at overvåking bak disken er en uforholdsmessig belastning for ansatte. Den
ansatte blir da overvåket store deler av arbeidsdagen noe som er belastende. Vi mener dette
går klart ut over de ansattes rimelige forventninger. I interesseavveiningen legger vi også stor
vekt på at mange av arbeidstakerne er mindreårige eller unge arbeidstakere.
Under enhver omstendighet mener vi at tilleggsvilkåret om «særskilt behov» ikke er oppfylt. I
sak PVN-2013-03 uttaler Personvernnemda at vilkåret «særskilt behov» er en rettslig standard
som utvikles gjennom Datatilsynets og Personvernnemdas praksis. Personvernnemda sier seg
enig i Datatilsynets veileder (2012) der det uttales at:
«Hvis formålet er å ivareta de ansattes helse og sikkerhet, vil overvåkingen normalt
være tillatt. Det vil da stilles krav til at arbeidsplassen er vurdert til å ha en spesielt
høy sikkerhetsrisiko. Steder der det drives risikofylt produksjon, eller hvor det er store
sjanser for ran, slik som banker og postkontor, er typiske eksempler. Dette vil likevel
kun gjelde på de konkrete områdene hvor det er en betydelig risiko, slik som steder
der kontanter håndteres eller der pengeskap er plassert».
Saken omhandler gammel personopplysningslov av 2000 § 38 som tidligere regulerte bruk av
kameraovervåking. Vilkåret «særskilt behov» er imidlertid videreført i kameraforskriften § 3
og praksis fra før forskriften var på plass er derfor fremdeles relevant.
Vi kan ikke se at deres virksomhet er utsatt for spesielle sikkerhetsrisikoer, eller er særlig
utsatt for farlige situasjoner. Tilleggsvilkåret om «særskilt behov» etter kameraforskriften § 3
er dermed ikke oppfylt.
Virksomheten har dermed ikke rettslig grunnlag for å overvåke bak kassen.
Vi vil derfor pålegge dere å stanse kameraovervåkingen bak kassen, jf.
personvernforordningen artikkel 6 nr. 1 bokstav f og kameraforskriften § 3. Se vedtaket punkt
1.
4.3 Rettslig grunnlag for kameraovervåking bak lager/kontor
9 av 15
For å overvåke lageret må virksomheten ha rettslig grunnlag i personvernforordningen
artikkel 6 nr. 1 bokstav f. Videre gjelder tilleggsvilkåret om «særskilt behov» etter
kameraforskriften da det som hovedregel kun befinner seg ansatte på lageret.
Virksomheten har, som vist overfor, opplevd at personer stjeler fra lageret da det er vanskelig
med fysisk sikring. Virksomheten mener at det er nødvendig å kunne dokumentere hvor mye
som eventuelt blir stjålet, og vi ser at kameraovervåkingen i utgangspunktet kan tjene til å
oppfylle dette formålet. Kameraovervåking for å oppklare slike hendelser er i seg selv et
berettiget formål.
Kameraovervåkingen må likevel begrenses til det som er nødvendig. Vi kan ikke se at det er
nødvendig å overvåke hele lageret for å oppklare slike hendelser. Det holder å eventuelt
overvåke inngangen til lageret, og å se om det var vært uvedkommende på lageret og om de
eventuelt har tatt med seg varer ut. Hvis virksomheten oppdager tyverier i lageret kan opptak
bli gjennomgått.
I tillegg veier hensynet til de ansatte veier tungt. Området blir brukt som kontor og pauserom.
Overvåking på slike steder er som hovedregel ikke tillatt. Vi mener ansatte har en forventning
om å ikke bli filmet på slike steder, og at slik overvåking oppleves belastende. Med tanke på
at store deler av resterende butikkområdet er filmet, er det særlig viktig at ansatte har et
friområde uten overvåking.
Når det gjelder kravet om særskilt behov etter kameraforskriften viser vi til vurderingen i
punkt forrige punkt om overvåking av kasse, da den også gjør seg gjeldene her. Vi kan ikke se
at virksomheten, og området bak lageret, er utsatt for spesielle sikkerhetsrisikoer eller
lignende.
Oppsummert mener vi at virksomheten ikke har rettslig grunnlag for å overvåke
lager/pauserom.
Vi vil derfor pålegge dere å stanse kameraovervåkingen av lager/pauserom, jf.
personvernforordningen artikkel 6 nr. 1 bokstav f og kameraforskriften § 3. Se vedtaket punkt
2.
4.4 Rettslig grunnlag for lydopptak
For å benytte lyd, både i sanntid og opptak, må dere vise til et rettslig grunnlag, jf.
personvernforordningen artikkel 6 bokstav f.
Kameraovervåkingsløsningen gjør kontinuerlige lydopptak. Dere har opplyst at lydopptak
ikke blir brukt, og at dere ikke var klar over at det blir gjort lydopptak. Dere har heller ikke
oppgitt noen formål for å gjøre lydopptak.
Det fremstår derfor klart at lydopptak ikke har rettslig grunnlag. For det første har dere ikke
vist til et saklig begrunnet formål. Kravet om berettiget interesser er derfor ikke oppfylt.
10 av 15
Videre mener vi bruk eller mulighet for lydopptak ikke er nødvendig for å oppklare eller
forebygge hverken tyverier eller hendelser med pågående personer. Dette gjelder både i den
konkrete butikken, men også på generelt grunnlag i alminnelige butikker.
Vi mener også at mulighet eller bruk av lyd er svært belastende for ansatte. Ansatte må ha
mulighet til å ha samtaler med kolleger og kunder uten å risikere å bli lyttet til. Kunder har
også en klar forventning om å ikke bli tatt opp med lyd i butikker.
Oppsummert er det utvilsomt at bruk og mulighet for lyd ikke har rettslig grunnlag, og vi ser
ikke at det er grunn til å gjøre ytterlige vurderinger vedrørende dette.
Vi vil derfor pålegge dere å fjerne all mulighet for og bruk av lydopptak. Dette innebærer at
dere må ha et system som sikrer at det ikke blir tatt opp lyd under noen omstendighet, hverken
i sanntid eller på opptak, da dette ikke har rettslig grunnlag, jf. personvernforordningen
artikkel 6 nr. 1 bokstav f. Se vedtaket punkt 3.
4.5 Rettslig grunnlag for fjerntilgang
For å benytte fjerntilgang må dere vise til et rettslig grunnlag. Det aktuelle rettslige grunnlaget
for bruk av fjerntilgang er interesseavveiningsbestemmelsen, jf. personvernforordningen
artikkel 6 nr. 1 bokstav f.
Ifølge daglig leder blir fjerntilgangen brukt når ansatte ringer ved ulike hendelser, som
tyverier eller pågående personer6. Dere har oppgitt at det er ubehagelig for unge ansatte å stå
alene i slike situasjoner. Dere bruker derfor fjerntilgangen til å få oversikt over situasjonen og
bistå den ansatte, eksempelvis ved å ringe vekter. Vi forstår dere slik at formålet er å ha
oversikt over ulike situasjoner som oppstår, blant annet for å bistå ansatte.
Etter vår vurdering er formålet om å trygge og bistå ansatte er saklig formål i seg selv. For oss
er det likevel uklart hvordan fjerntilgang rent faktisk bidrar med å hjelpe den ansatte. Dere er
uansett ikke tilstede fysisk, og kan ikke bidra annet enn moralsk støtte, eller gi instruksjoner
vedrørende situasjonen. Dette mener vi dere utvilsomt kan oppnå med mindre
personverninngripende tiltak.
Eksempler på dette er ordinær telefonkontakt og rutiner for vakthold der den ansatte selv kan
ringe vekter. Vi har forståelse for at det iblant kan ta tid før vekteren er på plass. Likevel ser
vi ikke hvordan fjerntilgang hjelper i påvente av vekter.
Videre er bruk av opptak normalt tilstrekkelig for å oppklare situasjonen i ettertid eller for å
utlevere opptak til politi. Vi mener derfor at fjerntilgangen ikke er egnet til å bidra eller er
nødvendig for å oppnå de nevnte formålene. Kravet til nødvendighet er ikke oppfylt.
6 Jf. formålene dere har oppgitt, som forebygging/oppklaring av tyverier og pågående personer knyttet til
pedofili.
11 av 15
Vi presiserer også at fjerntilgang er et mye større inngrep i ansattes personvern enn lokal
monitorering eller lagring. Fjerntilgang på telefon innebærer i praksis at eier kan følge med til
enhver tid, også uten at den ansatte vet det. Faren for misbruk er dermed stor. Selv om
misbruk ikke skjer i praksis, utgjør muligheten for fjerntilgang en uforholdsmessig belastning
for den ansatte.
Dette betyr at det som hovedregel må foreligge svært tungtveiende grunner for at fjerntilgang
er tillatt. Slike grunner foreligger som hovedregel ikke i alminnelige butikker og utsalgsteder,
ei heller i den konkrete saken.
Vi mener derfor under enhver omstendighet at personvernhensynet til de ansatte overstiger
virksomheten sitt behov for fjerntilgang.
Vi konkluderer med at fjerntilgangen ikke har rettslig grunnlag etter personvernforordningen
artikkel 6 nr. 1 bokstav f. All bruk og mulighet for fjerntilgang må derfor stanses, jf. vedtaket
punkt 4.
4.6 Internkontroll og rutiner
Personvernforordningen artikkel 24 pålegger virksomheten å utarbeide tiltak, som skriftlige
rutiner, for å sikre at personopplysninger blir behandlet i samsvar med loven.
Ved tilsynet ba vi dere fremlegge eventuell internkontroll. Dette var ikke etablert.
Vi vil derfor pålegge dere å utarbeide skriftlig internkontroll. Internkontrollen må liste opp
formålene som kameraovervåkingen brukes til. Videre skal internkontrollen inneholde rutiner
som sikrer at opptak regelmessig slettes, rutiner for tilgangsstyring, at informasjonsplikten
overfor kunder og ansatte blir overholdt og at opptak ikke utleveres i strid med loven. Vi viser
til personvernforordningen artikkel 24 og vedtaket punkt 5.
4.7 Informasjon til ansatte
Det er et krav om at ansatte skal få informasjon om kameraovervåkingen.
Ved tilsynet ba vi dere fremlegge informasjon som var gitt til ansatte. Dere viste til
informasjon på nettsiden og arbeidsavtalen til de ansatte. I begge dokumentene står at det
områdene er kameraovervåket. Dere har ikke gitt skriftlig informasjon utover dette, men dere
forklarte at ansatte også har fått muntlig informasjon.
Etter vår vurdering har dere ikke sannsynliggjort at de ansatte mottar tilstrekkelig informasjon
om kameraovervåkingen i henhold til personvernforordningen artikkel 12 og 13. Vi mener
informasjonen må være mer utfyllende. Det er et krav om at de ansatte skal få informasjon om
følgende punkter:
• Hvem som er behandlingsansvarlig
• Formålet med behandlingen
12 av 15
• Rettslig grunnlag for behandlingen
• Hvem opplysningene eventuelt deles med
• Lagringstid
• Rettighetene til den registrerte
Vi mener i tillegg at informasjonen må være skriftlig for å oppfylle krav om åpenhet og
tilgjengelighet, jf. personvernforordningen artikkel 12 nr. 1.
Vi vil derfor pålegge dere å etablere et klart og tydelig skriftlig informasjonsskriv til ansatte
for å sikre overholdelse av informasjonsplikten jf. artikkel 12 og 13, se vedtaket punkt 6.
Vi presiserer at den skriftlige informasjonen bør være tilgjengelig i internkontroll, og ikke i
arbeidsavtale.
4.8 Skilting
Når det skjer kameraovervåking i virksomhet er det et krav om varsling, ved skilting eller
annen tydelig måte, jf. kameraforskriften § 4.
Ved tilsynet viste dere til at det er satt opp merkelapp/klistremerke ved inngangspartiet. Det
var også små lapper rundt i lokalet over varehyller. Det er angitt at stedet er kameraovervåket.
Etter vår vurdering er skiltingen mangelfull. Skiltingen inneholder ikke informasjon om hvem
som er ansvarlig for kameraovervåkingen. Videre er vår vurdering at klistremerket utenfor
inngangspartiet ikke er tydelig nok.
Vi vil derfor pålegge dere å etablere et tydeligere skilt ved inngangspartiet, som også
inneholder informasjon om hvem som er ansvarlig for overvåkingen. Skiltingen må gjøre det
tydelig for kunder at stedet er kameraovervåket, før de går inn på området.
jf. kameraforskriften § 4. Se vedtaket punkt 7.
4.9 Sletting
For kameraovervåking i virksomhet skal opptak slettes etter senest en uke, jf.
kameraforskriften § 6.
Ved tilsynet ba vi dere informere om hvor lenge opptak lagres. Dere oppga at lagringstiden
var tolv dager. Nærmere undersøkelser viste at lagringstiden var femten dager.
Da kameraovervåkingen skjer på en arbeidsplass gjelder kameraforskriften. Maksimal
generell lagringstid er i utgangspunktet en uke, men opptil tre måneder dersom virksomheten
har et betalingsinstrument. Da dere har et kasseapparat har dere et betalingsinstrument, og kan
i prinsippet lagre i tre måneder forutsatt at dette er nødvendig.
I de fleste tilfeller er det imidlertid ikke nødvendig å lagre så lenge, og virksomheten er pliktig
til å gjøre en vurdering av nødvendig lagringstid.
13 av 15
Dere hadde ikke gjort en vurdering av nødvendig lagringstid, og lagringstiden var basert på de
medfølgende innstillingene.
Etter vår vurdering er det som hovedregel nok med en ukes lagringstid. Dere har ikke anført
behov for ytterligere lagringstid etter tilsynet, eller som merknad til varsel.
Vi vil derfor pålegge dere å justere lagringstiden på opptak til senest en uke, jf. § 6, se
vedtaket punkt 8.
4.10 Bruk av kamera – kontroll av ansatte?
Basert på daglig leders forklaring, kan vi ikke legge til grunn at kameraovervåkingen har blitt
brukt mot de ansatte i personalsaker.
4. Dokumentasjon
Vi har per i dag mottatt tre tips om kameraovervåkingen hos Fast Candy AS.
Oppsummert fremgår følgende av tipsene:
- Unge arbeidstakere (hovedsakelig under 18 år)
- Kameraovervåking i hele butikken, inkl. lagerrom, rom hvor ansatte skifter
- Brukes til å overvåke ansatte
- Inkluderer mikrofoner og bruk av lydopptak
- Ansatte blir konfrontert med hva de har sagt til hverandre, og dette brukes av ledelsen
i personalsaker
- Ansatte har ikke fått informasjon om kameraovervåkingen
- Ansatte vet ikke når ledelsen ser eller lytter til overføringene fra kamera og
mikrofonen.
5. Tilstede under tilsynet7
a. Fra tilsynsobjektet:
- Robert Crnalic, daglig leder
- Uros Ljiljak, leder
b. Fra Datatilsynet:
- Marte Skaslien, tilsynsleder
- Ylva Marrable, seksjonsleder
- Jeanette Dyrkorn, juridisk seniorrådgiver
- Atle Årnes, teknolog
7 Ref. Oversikt over møtedeltakere
14 av 15
15 av 15