1(16)
KLAGANDEN
Se bilaga 1
TILLSYNSOBJEKT
Granit Bostad Beritsholm AB
Diarienummer:
IMY-2023-15373 Beslut efter tillsyn enligt
Datum: dataskyddsförordningen – Granit
2024-12-11
Bostad Beritsholm AB:s
kamerabevakning
Innehållsförteckning
1. Integritetsskyddsmyndighetens beslut ........................................................................2
2. Redogörelse för tillsynsärendet ..................................................................................2
2.1 Bakgrund........................................................................................................2
2.2 Vad som framkommit i ärendet ......................................................................2
2.3 Omfattningen av IMY:s granskning i ärendet .................................................3
3. Motivering av beslutet .................................................................................................4
3.1 Vilken lagstiftning gäller för aktuell kamerabevakning? .................................4
3.1.1 Dataskyddsförordningen ..................................................................4
3.1.2 Kamerabevakningslagen ..................................................................4
3.2 Är bolaget personuppgiftsansvarig? ..............................................................4
3.3 Har kamerabevakningen haft laglig grund i dataskyddsförordningen? ..........5
3.3.1 Finns det ett berättigat intresse? ......................................................5
3.3.2 Är kamerabevakningen nödvändig för att uppnå det berättigade
intresset? ...................................................................................................5
3.3.3 Väger bevakningsintresset tyngre än integritetsintresset på
platsen? .....................................................................................................6
3.4 Har bolaget uppfyllt kravet på upplysning och sin skyldighet att informera? .9
3.4.1 Kravet på upplysning enligt kamerabevakningslagen ......................9
Postadress: 3.4.2 Informationsskyldigheten i dataskyddsförordningen ........................9
Box 8114 3.5 Val av ingripande .........................................................................................11
104 20 Stockholm
Webbplats: 3.5.1 Sanktionsavgift ska påföras ...........................................................12
www.imy.se 3.5.2 Sanktionsavgiftens storlek .............................................................13
E-post:
[email protected]
3.5.3 Föreläggande .................................................................................15
Telefon: 4. Hur man överklagar ..................................................................................................16
08-657 61 00
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 2(16)
Datum: 2024-12-11
1. Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Granit Bostad Beritsholm AB
(556529–2215) under perioden 1 november 2022 till och med 11 december 2024 har
behandlat personuppgifter i strid med artikel 6.1 och artikel 13 i
dataskyddsförordningen1 genom att utan rättslig grund bedriva kamerabevakning i
bolagets fastighet på Limhamnsvägen 22a i Malmö. Granit Bostad Beritsholm AB
uppfyller inte heller kravet på information till de registrerade avseende
kamerabevakningen.
Administrativ sanktionsavgift
IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Granit
Bostad Beritsholm AB ska betala en administrativ sanktionsavgift på 200 000
(tvåhundratusen) kronor för de ovan konstaterade överträdelserna av artiklarna
6.1 och 13 i dataskyddsförordningen.
Föreläggande
Integritetsskyddsmyndigheten förelägger Granit Bostad Beritsholm AB enligt artikel
58.2 d i dataskyddsförordningen att senast fyra veckor efter att detta beslut fått laga
kraft vidta åtgärder för att säkerställa att
1. bolaget upphör med kamerabevakningen av samtliga platser i fastigheten
undantaget garaget.
2. det på kamerabevakningsskyltarna finns uppgifter om bolagets identitet och
och kontaktuppgifter till bolaget, i form av mailadress eller telefonnummer.
2. Redogörelse för tillsynsärendet
2.1 Bakgrund
IMY har inlett tillsyn mot Granit Bostad Beritsholm AB (bolaget) i syfte att utreda ett
klagomål om att bolaget bedriver otillåten kamerabevakning i flerbostadshus på
Limhamnsvägen 22a i Malmö samt brister i sin informationsskyldighet.
2.2 Vad som framkommit i ärendet
Klaganden har uppgett i huvudsak följande. Klaganden bor i hyresfastigheten på
Limhamnsvägen 22a i Malmö där det bedrivs omfattande kamerabevakning. Det finns
kameror vid tre huvudentréer, vid hissar och vid lägenhetsdörrar på bottenplan samt
ett flertal kameror i källargång i anslutning till ingång till förråd, tvättstuga och bastu.
Det finns även ett flertal kameror i garage, cykelförråd, soprum, återvinningsrum samt
inomhus vid entrén på baksidan av fastigheten. Klaganden har kontaktat hyresvärden
angående omfattningen av kamerabevakningen och bristen på information. Det finns
ingen fysisk information på plats, eller på annat sätt, som besökare och hyresgäster
kan ta del av. Klaganden anser att det bör finnas information i övrigt kring behandling
av personuppgifter till hyresgästerna, såsom loggning av användning av taggar för
1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
direktiv 95/46/EG (allmän dataskyddsförordning).
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 3(16)
Datum: 2024-12-11
inpassering. Området där fastigheten är belägen är generellt mycket lugnt utan vidare
problem, därför bör omfattningen av kamerabevakningen ske på ett sätt som
minimerar upptagningen i förhållande till problemen. I december 2022 fick klaganden
svar från hyresvärden att de ska se över informationsbehovet avseende
kamerabevakningen. Klaganden har inte fått några konkreta besked om åtgärder och
upplever därför inte trygghet i om personuppgifter, som samlas in genom
kamerabevakning, behandlas korrekt och säkert samt enligt dataskyddsförordningen.
Bolaget har uppgett i huvudsak följande. I samband med att bolaget tog över
fastigheten den 1 november 2022 tog de även över driften av
kamerabevakningssystemet. Det är okänt när bevakningen påbörjades, en omfattande
systemombyggnad skedde år 2013. Området har historiskt haft problem med
incidenter i form av bl.a. cykelstölder, inbrottsförsök, förrådsinbrott, bilinbrott,
skadegörelse och klotter i allmänna utrymmen. De flesta incidenter har utretts
framgångsrikt.
Bolaget bedriver kamerabevakning på Limhamnsvägen 22a i Malmö och är
personuppgiftsansvarig för behandling av personuppgifter. Kamerabevakningen sker
med 18 kameror som är monterade i garage, källare, förråd, drift, tvättstuga och
soprum. Kamerorna är riktade mot garage, källarentré vid gym, cykelförråd,
värmecentral, utanför kontor, korridor mot tvättstuga och garage, trapphus A-C, källare
i trappa C, förråd och soprum. Kamerabevakningen sker dygnet runt eftersom
incidenter och brott inträffar vid dygnets alla timmar, på vardagar och helger.
Inspelning sker vid rörelsedetektering med samtliga kameror. Det sker ingen
realtidsbevakning och ingen ljudinspelning. Det har inträffat inbrott och skadegörelse
under varierande tider på dygnet, därav valet av tid för bevakningen. Bildmaterial
sparas i 14 dagar på grund av att det endast finns en förvaltare och kontoret inte har
fasta bemanningstider. Det kan även ta tid att upptäcka en incident. Tre personer har
tillgång till inspelat bildmaterial.
Syftet med bevakningen är att motverka och förebygga brott, skapa trygg boendemiljö,
dokumentera underlag vid incidenter samt motverka stora kostnader vid omfattande
felsortering och olägenhet på grund av skadedjur. Vidare sker kamerabevakningen i
avskräckande syfte. Kamerorna är uppskattade av hyresgästerna och de har en
avskräckande funktion vad gäller inbrott och bedrägeriförsök. Bolaget har generellt fått
ett positivt intryck från de boende avseende kamerabevakningen.
Bolaget har inkommit med bl.a. en dokumenterad intresseavvägning, en ritning som
visar var kameror är monterade, skärmbilder från samtliga kameror, kopia på äldre
skyltar och nya skyltar, kartbild, koncernstruktur som bolaget ingår i, en
sammanställning av incidenter och polisanmälningar hämtat från polisen samt kopia
på integritetspolicy.
2.3 Omfattningen av IMY:s granskning i ärendet
IMY:s granskning i ärendet är avgränsad till frågorna om den
personuppgiftsbehandling som kamerabevakningen innebär, sedan 1 november 2022,
har haft laglig grund enligt dataskyddsförordningen och om bolaget har uppfyllt kravet
på upplysning enligt 15 § kamerabevakningslagen (2018:1200) samt skyldigheten att
lämna information enligt artikel 13 i dataskyddsförordningen. IMY:s granskning i detta
tillsynsärende omfattar inte om bolagets kamerabevakning sker i enlighet med övriga
gällande bestämmelser i dataskyddsförordningen.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 4(16)
Datum: 2024-12-11
3. Motivering av beslutet
3.1 Vilken lagstiftning gäller för aktuell kamerabevakning?
Kamerabevakning innebär typiskt sett att det sker en personuppgiftsbehandling. Om
och i vilken utsträckning det är tillåtet att kamerabevaka regleras i
dataskyddsförordningen och kamerabevakningslagen.
3.1.1 Dataskyddsförordningen
Dataskyddsförordningen ska enligt artikel 2.1 tillämpas på behandling av
personuppgifter som helt eller delvis företas på automatisk väg. Av artikel 4.1 i
dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller
identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 avses med behandling
en åtgärd eller kombination av åtgärder beträffande personuppgifter, till exempel
insamling, registrering, lagring, läsning och radering.
Om en bevakningskamera filmar en identifierbar person, eller någon annan
personuppgift, sker en behandling av personuppgifter och reglerna i
dataskyddsförordningen måste följas. IMY konstaterar att bolagets bevakningskameror
filmar identifierbara personer och att dataskyddsförordningens bestämmelser därmed
gäller avseende aktuell personuppgiftsbehandling.
Den personuppgiftsansvarige ska identifiera den lagliga grunden i artikel 6 i
dataskyddsförordningen innan kamerabevakningen inleds, och ansvarar - både
gentemot de registrerade och i förhållande till tillsynsmyndigheten - för att principerna
om behandling av personuppgifter i artikel 5 i dataskyddsförordningen efterlevs.2
Principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen innebär att den
personuppgiftsansvarige måste kunna visa att artikel 5.1 följts, vilket innebär att
tillämpningen av dataskyddsförordningen ofta behöver dokumenteras.
3.1.2 Kamerabevakningslagen
Kamerabevakningslagen (2018:1200), är en kompletterande lag i förhållande till
dataskyddsförordningen. Av 3 § 1 kamerabevakningslagen framgår att med
kamerabevakning avses en tv-kamera, ett annat optisk-elektroniskt instrument eller en
därmed jämförbar utrustning som, utan att manövreras på platsen, används på ett
sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning.
Den aktuella kamerabevakningen manövreras inte på platsen och innebär en varaktig
bevakning av boende och övriga besökare i fastigheten. IMY bedömer att även
kamerabevakningslagen därmed är tillämplig på den aktuella bevakningen.
3.2 Är bolaget personuppgiftsansvarig?
Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, den
fysiska eller juridiska person som, ensamt eller tillsammans med andra, bestämmer
ändamålen och medlen för behandlingen av personuppgifter. Avgörande för frågan om
vem som är personuppgiftsansvarig är vem eller vilka som har bestämt varför och hur
behandlingen sker, samt utövar ett inflytande över vilka personuppgifter som samlas in
och behandlas, hur länge de lagras och vem som har åtkomst. Bedömningen av vem
2 Prop. 2017/18:105, Ny dataskyddslag, s. 47 f.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 5(16)
Datum: 2024-12-11
eller vilka som är personuppgiftsansvarig för viss behandling ska alltid utgå från de
faktiska omständigheterna i det specifika fallet.3
Granit Bostad Beritsholm AB har uppgett att bolaget är personuppgiftsansvarig för
behandlingen av personuppgifter som sker genom aktuell kamerabevakning på
Limhamnsvägen 22a i Malmö. IMY anser att detta har stöd i utredningen och bedömer
därför att bolaget är personuppgiftsansvarig för den aktuella
personuppgiftsbehandlingen i den mening som avses i artikel 4.7 i
dataskyddsförordningen.
3.3 Har kamerabevakningen haft laglig grund i
dataskyddsförordningen?
För att behandling av personuppgifter ska vara laglig krävs att det finns stöd i minst en
av de lagliga grunder som anges i artikel 6.1 i dataskyddsförordningen. Bolaget har
uppgett att aktuell kamerabevakning har stöd i den lagliga grund som anges i artikel
6.1 f i dataskyddsförordningen, vilket är den så kallade intresseavvägningen. Det finns
tre förutsättningar som samtliga måste vara uppfyllda för att kamerabevakningen ska
kunna ske med stöd av artikel 6.1 f i dataskyddsförordningen: Den
personuppgiftsansvariga måste kunna visa 1) att det finns ett berättigat intresse, 2) att
den aktuella behandlingen av personuppgifter är nödvändig för att uppnå det intresset,
samt 3) att det berättigade intresset (bevakningsintresset) vid en avvägning väger
tyngre än de registrerades grundläggande fri- och rättigheter (integritetsintresset) på
platsen.4
3.3.1 Finns det ett berättigat intresse?
För att det intresse som bevakningen avser att skydda ska anses berättigat behöver
det normalt sett ha stöd i relevant nationell rätt eller i EU-rätten. En
bostadsrättsförening som vill skydda bostadsrättsinnehavarnas egendom, hälsa och liv
kan anses ha ett sådant berättigat intresse.5 Att skydda egendom, hälsa och liv kan
utgöra ett berättigat intresse för kamerabevakning, under förutsättning att det är fråga
om ett faktiskt intresse och inte ett intresse som är fiktivt eller spekulativt vid tidpunkten
för personuppgiftsbehandlingen.6 Detta innebär i regel att det måste ha inträffat brott
eller andra incidenter som gör att det föreligger ett konkret bevakningsbehov.
Bolaget har angett att syftet med kamerabevakningen är att öka säkerheten och
tryggheten för hyresgästerna, förebygga och utreda brott samt skydda fastighetens
egendom. Bolaget har också angett att bevakningen sker i avskräckande syfte.
Bevakningen försvårar inbrottsförsök i lägenheter, vind och källare på grund av att
personer blir bevakade på vägen ut med eventuellt stöldgods. Av utredningen framgår
att det sedan år 2019 har inträffat incidenter i form av bl.a. bilinbrott, stöld,
skadegörelse, klotter, inbrott och inbrottsförsök. IMY bedömer att bolaget har ett
berättigat intresse av att bedriva kamerabevakning för att öka säkerheten och
tryggheten för hyresgästerna, förebygga och utreda brott samt skydda egendom.
3.3.2 Är kamerabevakningen nödvändig för att uppnå det berättigade intresset?
Att den kamerabevakning som bedrivs ska vara nödvändig innebär att det berättigade
intresset inte rimligen kan skyddas på ett lika effektivt sätt på andra sätt som i mindre
3 EDPB:s riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, version
2.0, antagna den 7 juli 2021, 07/2020, punkt 25.
4 Dom Rīgas satiksme, C-13/16, EU:C:2017:336, punkt 28.
5 Dom TK, C-708/18, EU:C:2019:1064, punkt 42.
6 EDPB:s riktlinjer 3/2019 för behandling av personuppgifter genom videoenheter, antagna den 29 januari 2020, punkt
20.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 6(16)
Datum: 2024-12-11
utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter. Det ska
beaktas om kamerorna har använts på ett sätt som begränsar det intrång i den
personliga integriteten som bevakningen innebär utan att för den sakens skull äventyra
bevakningens effektivitet, vilket innefattar en bedömning av om det exempelvis är
tillräckligt att kamerabevakningen sker begränsad till vissa platser eller tider.
Nödvändigheten ska prövas tillsammans med principen om uppgiftsminimering i artikel
5.1 c i dataskyddsförordningen7, som innebär att personuppgifter som samlas in ska
vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka
de behandlas.
Av utredningen i ärendet framgår att alternativa åtgärder har vidtagits genom att
begränsa tillträde till fastigheten med hjälp av passersystem med taggar, uppgradering
av starkare portautomatik, montering av galler framför dörrar och rörelsevakt för
automatisk belysning samt förbättring av belysning. Vid källarentrén finns belysning
som sätts på vid rörelse på grund av att personer har rört sig nära hyresgästers
balkonger under kvällstid. Åtgärderna vidtogs av tidigare ägare och har inte minskat
incidenterna i tillräcklig omfattning enligt bolaget. Bolaget uppger att i de områden där
kameror finns uppsatta har det haft en avskräckande funktion avseende inbrott och
bedrägeriförsök. IMY konstaterar att tidigare fastighetsägare har vidtagit alternativa
och mindre integritetskänsliga åtgärder till kamerabevakning samt att bevakningen
enligt bolaget har haft en avskräckande effekt. IMY bedömer att även om bolaget
varken har begränsat bevakningen i tid respektive upptagningsområde, t.ex. genom
maskning, i syfte att minska integritetsintrånget, kan bevakningen anses vara
nödvändig för att skydda bolagets och de boendes berättigade intressen.
3.3.3 Väger bevakningsintresset tyngre än integritetsintresset på platsen?
Att det berättigade intresse som bevakningen avser att skydda (bevakningsintresset)
vid en avvägning ska väga tyngre än de registrerades grundläggande fri- och
rättigheter (integritetsintresset), innebär att den personuppgiftsansvariga måste
utvärdera riskerna för intrång i den registrerades rättigheter. Det avgörande kriteriet är
intrångets intensitet för den registrerades rättigheter och friheter, som bl.a. kan
definieras utifrån informationsinnehållet, omfattningen, situationen i fråga och den
registrerades faktiska intressen.8 Vidare ska hänsyn tas till vilken typ av
personuppgiftsbehandling det är fråga om och hur denna konkret går till.9 Vid
avvägningen mellan integritetsintresset och bevakningsintresset ska även beaktas den
registrerades rimliga förväntningar vid tidpunkten och i samband med behandlingen av
dess personuppgifter.10
Avseende integritetsintresset konstaterar IMY följande. All kamerabevakning innebär
ett intrång i den enskildes integritet. Europeiska dataskyddsstyrelsen (EDPB) har i
riktlinjer, som är vägledande för hur dataskyddsförordningens bestämmelser ska
tolkas, uttalat att registrerade inte rimligen bör förvänta sig att bli föremål för bevakning
i bostadsområden.11 IMY anser att kamerabevakning i boendemiljöer som
utgångspunkt är mycket känsligt ur integritetssynpunkt. Integritetsintresset varierar
dock beroende på det specifika området för bevakningen.
Vad gäller bevakningsintresset har bolaget uppgett att många människor rör sig i
området där fastigheten är belägen. Dels på grund av att det bl.a. finns en strand i
närheten som många människor besöker. Bolaget hänvisar till uppgifter i
7 Dom TK, C-708/18, EU:C:2019:1064, punkt 46-48 och 50.
8 EDPB:s riktlinjer 3/2019, punkt 32.
9 EU-domstolens dom i mål C-708/18 TK, punkt 57.
10 Skäl 47 i dataskyddsförordningen och Dom TK C-708/18 TK, punkt 58.
11 EDPB:s riktlinjer 3/2019, punkt 37.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 7(16)
Datum: 2024-12-11
Brottsförebyggande rådets senaste upplaga av Kriminalstatistik, anmälda brott 2023. I
upplagan framgår att det i storstadskommuner som bl.a. Malmö anmäls ett stort antal
brott på grund av den höga genomströmningen av människor som inte är bofasta i
kommunen, vilket förklarar den höga brottsligheten i området. Bolaget har inkommit
med en sammanställning av 25 incidenter som inträffat i området där fastigheten är
belägen under perioden 13 september 2017 och 13 december 2023. Bolaget har
också inkommit med en sammanställning av incidenter och polisanmälningar
avseende år 2019 till och med år 2024, hämtat från polisen, som inträffat i området där
fastigheten är belägen och området omkring fastigheten. Bolaget har vidare uppgett att
polisen inte får lämna ut anmälningar och händelser hänförliga till fastigheten. IMY
anser att bolaget har visat att det förekommit brott och incidenter i området där
fastigheten är belägen. Det är dock inte visat att dessa brott och incidenter har inträffat
i fastigheten eller på de platser i fastigheten som bevakas. IMY anser därmed inte att
underlaget som bolaget inkommit med påverkar IMY:s bedömning av
bevakningsintresset i aktuell fastighet där bolaget bedriver kamerabevakning.
Entréer och trapphusen
Kamerabevakning som sker innanför entrén eller i trapphuset till lägenheter ses
generellt som särskilt integritetskänslig eftersom de boende blir övervakade när de
kommer till och lämnar sina bostäder. Det möjliggör en kartläggning av de boendes
vanor, besök och umgängeskrets. Det är nu fråga om kamerabevakning dygnet runt av
entréer till samtliga trapphus, såväl trapphus A, B och C, och en källarentré till
fastigheten vid ett gym. Inom upptagningsområdet av trapphus B finns även en
gästlägenhet, vilket innebär att flera olika personer kan träffas av bevakningen, vilket
höjer integritetsintresset något. Integritetsintresset försvagas något av den
omständigheten att bevakningen delvis syftar till att skydda de personer som blir
föremål för bevakningen. Vid en sammantagen bedömning anser IMY att
integritetsintresset i entréer och trapphus väger tungt.
Avseende bevakningsintresset konstaterar IMY följande. Bolaget har lämnat en
redogörelse för brott och incidenter som inträffat under perioden 13 maj 2019 till och
med 31 december 2023. Av underlaget framgår att inbrottslarm har utlösts i trapphus B
och C på grund av obehörig åtkomst, ett larm om misstänkt obehörig åtkomst i
trapphus B, inbrott i trapphus B, larm om obehörig åtkomst i trapphus B, larm vid
byggnadsställning vid utsidan av fastigheten, krossad fönsterruta till trapphus samt ett
polisingripande i en lägenhet som medfört skador på lägenhet och trapphus. Bolaget
har vidare uppgett att obehörig åtkomst till fastigheten sker tre till fyra gånger per år
genom nödutgångar som skadats till följd av detta samt att skadegörelse i form av
klotter har inträffat i trapphusen. Bolaget har uppgett att det har förkommit problematik
i dåvarande ägares fastighetsbestånd i Malmö med att obehöriga berett sig tillträde, i
synnerhet narkomaner, vilket medfört otrygghet för hyresgäster. IMY konstaterar att
det har skett incidenter och brott i fastigheten, t.ex. problematik med obehörig åtkomst
i fastigheten vilket IMY förstår påverkar tryggheten för de boende. IMY anser dock att
det rör sig om incidenter som inte är av tillräckligt allvarlig karaktär för att
bevakningsintresset i entréer och trapphus ska anses väga tyngre än
integritetsintresset på platsen. Vid en sammantagen bedömning anser IMY att
bevakningsintresset i entréer och trapphusen väger relativt lätt.
Mot bakgrund av de incidenter som inträffat på platserna bedömer IMY att
bevakningsintresset på platsen väger relativt lätt. Med beaktande av det tungt vägande
integritetsintresset på platserna bedömer IMY att bolagets intresse av att
kamerabevaka entréer och trapphus inte väger tyngre än de boendes intresse av att
inte bli kamerabevakade där.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 8(16)
Datum: 2024-12-11
IMY anser därför att kamerabevakningen av entréer och trapphus inte kan stödjas på
en intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen. Det har inte heller
framkommit att det skulle vara möjligt att stödja bevakningen på någon annan laglig
grund i artikel 6.1 i dataskyddsförordningen. Bolaget har därmed behandlat
personuppgifter i strid med artikel 6.1 i dataskyddsförordningen.
Källare, förråd, drift, tvättstuga, soprum och korridorer till platserna
Kamerabevakning av cykelförråd, soprum, förråd och liknande anses inte lika
integritetskänslig som kamerabevakning i anslutning till lägenheter, eftersom de
boende inte behöver passera dessa utrymmen för att ta sig till och från sina bostäder,
och inte heller uppehåller sig där under längre stunder. IMY konstaterar dock att
bolaget bedriver omfattande kamerabevakning dygnet runt i fastigheten. De boende
kan på grund av detta inte undgå kamerabevakningen, vilket talar för en högre risk för
integritetsintrång. Risken för integritetsintrång minskar dock något i fråga om
bevakningen av nämnda utrymmen, särskilt under senare kvälls- och nattetid, då
boende i mindre utsträckning kan antas vistas på platserna. Integritetsintresset
försvagas något av omständigheten att bevakningen delvis syftar till att skydda de
personer som blivit föremål för bevakningen. IMY bedömer att integritetsintresset i
källare, förråd, drift, tvättstuga, soprum och korridorer till platserna väger relativt tungt.
Avseende bevakningsintresset konstaterar IMY följande. Av redogörelsen för brott och
incidenter som bolaget har lämnat framgår att det har inträffat larm om misstänkt
obehörig åtkomst till elcentral, larm om att dörr till soprum har brutits upp samt larm om
skadad dörr till soprum sannolikt på grund av inbrottsförsök. Utöver dessa incidenter
har det inträffat skadegörelse i form av klotter på platserna. IMY konstaterar att det
krävs att det finns ett faktiskt intresse av att bevaka, dvs. det bör ha inträffat faktiska
incidenter på platserna som kamerabevakas. IMY anser att bolaget har visat att det
förekommit incidenter på vissa platser som bevakas, men inte på samtliga platser. Det
rör sig huvudsakligen inte heller om återkommande incidenter. IMY bedömer
sammantaget att även om vissa incidenter har inträffat väger bevakningsintresset på
platserna relativt lätt.
IMY bedömer sammantaget att bolagets intresse av att kamerabevaka källare, förråd,
drift, tvättstuga, soprum och korridorer till platserna inte väger tyngre än de boendes
intresse av att inte bli kamerabevakade där.
IMY anser därför att kamerabevakningen av källare, förråd, drift, tvättstuga, soprum
och korridorer till platserna inte kan stödjas på en intresseavvägning enligt artikel 6.1 f
i dataskyddsförordningen. Det har inte heller framkommit att det skulle vara möjligt att
stödja bevakningen på någon annan laglig grund i artikel 6.1 i dataskyddsförordningen.
Bolaget har därmed behandlat personuppgifter i strid med artikel 6.1 i
dataskyddsförordningen även i denna del.
Garage
IMY anser även här att kamerabevakning av garage är mindre känslig, eftersom
enskilda inte behöver passera dessa utrymmen för att ta sig till sina bostäder, och inte
heller uppehåller sig där under längre stunder. Detta innebär att integritetsintresset
väger något lättare på platsen.
Avseende bevakningsintresset konstaterar IMY följande. Av utredningen framgår att
garageporten blev påkörd vid ett tillfälle år 2023, inbrott skedde i garaget år 2019 och
år 2023 då bilar blev bestulna på rattar och strålkastare. IMY konstaterar att det i
garaget finns stöldbegärlig egendom, vilket skiljer sig från andra platser i fastigheten,
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 9(16)
Datum: 2024-12-11
exempelvis källargång och tvättstuga. Det rör sig om en annan sorts plats som
bevakas och annan egendom som ska skyddas än i fastigheten i övrigt, vilket påverkar
bedömningen av bevakningsintresset som anses väga tyngre i garaget än på övriga
platser i fastigheten.
IMY bedömer därför att bolagets intresse av att kamerabevaka garaget, även om en
incident ligger ett antal år bakåt i tiden, väger något tyngre än de boendes intresse av
att inte bli kamerabevakade där. Bolaget har därmed laglig grund enligt artikel 6.1 f i
dataskyddsförordningen avseende bevakningen av garaget.
IMY:s sammanfattande bedömning
Sammanfattningsvis bedömer IMY att bolaget har laglig grund enligt artikel 6.1 f i
dataskyddsförordningen för den kamerabevakning som pågår i garaget. Däremot
saknar bolaget laglig grund enligt artikel 6 i dataskyddsförordningen för sin bevakning i
övrigt.
3.4 Har bolaget uppfyllt kravet på upplysning och sin skyldighet
att informera?
3.4.1 Kravet på upplysning enligt kamerabevakningslagen
I 15 § kamerabevakningslagen uppställs ett krav på att upplysning om
kamerabevakning ska lämnas genom tydlig skyltning eller på något annat verksamt
sätt. Bestämmelsen avser själva användningen av kamerabevakningsutrustning och
inte den behandling av personuppgifter som bevakningen innebär.12 Bestämmelsen
innehåller inga krav angående vilken information som ska lämnas och
upplysningsplikten får därmed anses vara uppfylld om den som bedriver bevakningen
på ett tydligt sätt lämnar upplysning om att kamerabevakning sker på en viss plats.
Av utredningen i ärendet framgår att det sitter skyltar på entrédörrar, vid port och dörr
samt på fasaden. Bolaget har inkommit med en ritning av källarplan inklusive garage
och en ritning av samtliga trapphus (A, B och C). Av ritningarna framgår att skyltar
sitter vid samtliga ingångar till fastigheten.
IMY bedömer att bolaget har lämnat upplysning om bevakningen genom tydlig
skyltning och därigenom uppfyllt upplysningskravet i 15 § kamerabevakningslagen.
3.4.2 Informationsskyldigheten i dataskyddsförordningen
IMY ska även bedöma om bolaget har levt upp till sina skyldigheter att informera om
personuppgiftsbehandlingen enligt artikel 13 i dataskyddsförordningen. Artikel 13 i
dataskyddsförordningen reglerar vilken information som ska lämnas när
personuppgifterna samlas in från den registrerade. Vid kamerabevakning anses
personuppgifter samlas in från den registrerade.13
12 Prop. 2017/18:231, Ny kamerabevakningslag, s. 87 f.
13 Artikel 29-arbetsgruppen, Riktlinjer om öppenhet enligt förordning (EU) 2016/679, WP260rev.01, punkt 26 samt
EDPB:s Riktlinjer 3/2019, punkt 110. Se dock Kammarrätten i Stockholms dom den 26 januari 2023 i mål nr 1552-22 i
vilken Kammarrätten bedömt att det inte är artikel 13 utan artikel 14 som ska vara tillämplig vid kamerabevakning.
Domen är överklagad till Högsta förvaltningsdomstolen (mål nr 870-23) och har därmed inte vunnit laga kraft. Med
hänsyn till den ställning som EDPB:s riktlinjer har enligt förordningen och i avvaktan på ett lagakraftvunnet avgörande
utgår IMY i sin bedömning från EDPB:s riktlinjer och att det är artikel 13 i dataskyddsförordningen som ska tillämpas i
ärendet. Högsta förvaltningsdomstolen (HFD) har i målet begärt förhandsavgörande från EU-domstolen ifråga om
artikel 13 eller 14 är tillämplig vid bevakning med kroppsburen kamera.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 10(16)
Datum: 2024-12-11
Enligt artikel 13.1 i dataskyddsförordningen ska den personuppgiftsansvarige, när
personuppgifterna erhålls, lämna information till den registrerande om bl.a. följande.
• Den personuppgiftsansvariges identitet och kontaktuppgifter.
• Kontaktuppgifter för ev. dataskyddsombud.
• Ändamålen med behandlingen för vilken personuppgifterna är avsedda samt
den rättsliga grunden för behandlingen.
• Om den rättsliga grunden är artikel 6.1 f (intresseavvägning), vilket berättigat
intresse behandlingen syftar till att tillvarata.
• Mottagarna eller de kategorier av mottagare som ska ta del av
personuppgifterna, i förekommande fall.
Enligt artikel 13.2 i dataskyddsförordningen ska den personuppgiftsansvarige, vid
insamlingen av personuppgifterna, lämna information till den registrerande om bl.a.
följande.
• Den period under vilken personuppgifterna kommer att lagras eller de kriterier
som används för att fastställa denna period.
• Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till
och rättelse eller radering av personuppgifter eller begränsning av behandling
som rör den registrerade eller att invända mot behandling.
• Att den registrerade har rätt att inge klagomål till en tillsynsmyndighet.
Av artikel 13.4 framgår att punkterna 1, 2 och 3 i artikel 13 inte ska tillämpas om och i
den mån den registrerade redan förfogar över informationen.
Utredningen visar att när bolaget tillträdde fastigheten 2022 har det på skyltningen
saknats uppgifter om bl.a. syftet med personuppgiftsbehandlingen
(kamerabevakningen), den personuppgiftsansvarigas identitet (bolaget),
kontaktuppgifter till den personuppgiftsansvarige (bolaget), en upplysning om att de
bevakade kan utöva sina rättigheter enligt dataskyddsförordningen, hur länge
bildmaterial lagras och hänvisning till var man kan få veta mer om
personuppgiftsbehandlingen.
Under tillsynens gång har skyltarna uppdaterats, dock utan att bolaget varit involverat.
På de nya skyltarna har det saknats uppgifter om den personuppgiftsansvarigas
identitet (bolaget) och kontaktuppgifter till den personuppgiftsansvarige (bolaget) på
skyltarna. IMY konstaterar att bolaget har uppgett att skyltningen kommer att
förtydligas med uppgifter om att bolaget är personuppgiftsansvarig för
kamerabevakningen.
Bolaget har uppgett att information om behandling av personuppgifter som pågår vid
kamerabevakning tillhandahållits de registrerade via bolagets hemsida som
uppdaterats den 4 juni 2024 med fullständig information. Den 29 augusti 2024
uppdaterades hemsidan med bl.a. ytterligare information om ändamålet med
kamerabevakningen och ett tydliggörande om att bolaget är personuppgiftsansvarig.
De registrerade har tidigare hänvisats till bolagets fastighetsförvaltarens hemsida med
information om kamerabevakningen. Den informationen har funnits tillgänglig sedan
den 1 november 2022. Hemsidan omarbetades och informationen uppdaterades den
27 november 2023. Vid den tidpunkten saknades uppgifter om vem den
personuppgiftsansvariga är, kontaktuppgifter till den personuppgiftsansvariga,
uppgifter om ändamålet med kamerabevakningen, rättslig grund för bevakningen och
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 11(16)
Datum: 2024-12-11
hur länge bevakningsmaterialet lagras. Om den rättsliga grunden är artikel 6.1 f i
dataskyddsförordningen (intresseavvägning), ska det även anges vilket berättigat
intresse behandlingen syftar till att tillvarata. Det ska även framgå uppgifter om
mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna i
förekommande fall. Det saknades även information om att de registrerade har rätt att
av den personuppgiftsansvarige (bolaget) begära radering av personuppgifter eller att
invända mot behandling.
Fastighetsförvaltaren har i samband med visning av lägenheter informerat muntligen
om kamerabevakningen och hänvisat till bolagets hemsida för mer information.
Förvaltaren har också informerat samtliga nya hyresgäster om kamerabevakningen
och var de kan hitta mer information om det. Information om kamerabevakning har inte
skickats ut i fysisk form till de registrerade och inte tillhandahållits de registrerade på
annat sätt.
IMY bedömer att det har funnits brister i det första och det andra informationslagret,
men det råder inte total avsaknad av information om personuppgiftsbehandlingen. IMY
konstaterar att även om fastighetsförvaltaren vid visning av lägenheter muntligen har
informerat om att kamerabevakning sker och hänvisat till bolagets hemsida för mer
information, vistas även andra än de boende i de bevakade utrymmena, såsom gäster
till de boende, hantverkare m.fl. Dessa har därmed varit hänvisade till skyltarna om
kamerabevakning. Skyltarna om kamerabevakning har uppdaterats under tillsynens
gång liksom hemsidan med information om kamerabevakningen. Även om de nya
skyltarna och hemsidan innehåller mer information än tidigare finner IMY att det
fortsatt finns vissa brister i det första informationslagret. På
kamerabevakningsskyltarna saknas uppgifter om den personuppgiftsansvarigas
identitet (bolaget) och kontaktuppgifter till bolaget, i form av mailadress eller
telefonnummer. Denna information kan enligt IMY med förhållandevis enkla medel
läggas till på de befintliga skyltarna. IMY bedömer sammantaget att den information
som har lämnats inte uppfyller alla krav enligt artikel 13.1 och 13.2 i
dataskyddsförordningen.
IMY konstaterar därför att bolaget sedan 1 november 2022 har behandlat
personuppgifter i strid med artikel 13 i dataskyddsförordningen.
3.5 Val av ingripande
IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande
befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av
artikel 58.2 a–j i dataskyddsförordningen.
IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder
som avses i artikel 58.2 i dataskyddsförordningen, beroende på omständigheterna i
varje enskilt fall. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten,
enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en
sanktionsavgift. Hänsyn ska tas till försvårande och förmildrande omständigheter i
fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare
överträdelser av relevans.
Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa
sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det
anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 12(16)
Datum: 2024-12-11
beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vid
bedömningen av sanktionsavgiftens storlek.
Vid bedömningen av storleken på sanktionsavgiften ska bland annat hänsyn tas till
artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), c (de åtgärder
som den personuppgiftsansvarige har vidtagit) och k (annan försvårande eller
förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst).
EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt
dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer
för beräkning av sanktionsavgifter.14
Enligt artikel 83.5 i dataskyddsförordningen kan vid överträdelser av artiklarna 6 och
13 i dataskyddsförordningen administrativa sanktionsavgifter påföras på upp till
20 000 000 EUR eller, om det gäller företag, på upp till 4 procent av den totala globala
årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.
Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag
ska den definition av begreppet företag användas som EU-domstolen använder vid
tillämpning av artiklarna 101 och 102 i EUF-fördraget (se skäl 150 i
dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet
som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess
finansiering samt även om enheten i juridisk mening består av flera fysiska eller
juridiska personer.15
Reglerna för koncernansvar i EU:s konkurrenslagstiftning kretsar kring begreppet
ekonomisk enhet. Ett moderbolag och ett dotterbolag betraktas som en del av samma
ekonomiska enhet när moderbolaget utövar ett avgörande inflytande över
dotterbolaget. Det avgörande inflytandet (dvs. kontrollen) kan antingen uppnås genom
ägande eller genom avtal. Av rättspraxis framgår att ett hundraprocentigt eller nästan
hundraprocentigt ägande innebär en presumtion för att kontroll ska anses föreligga.
Presumtionen kan dock motbevisas om företaget lämnar tillräcklig bevisning för att
styrka att dotterbolaget agerar självständigt på marknaden.16
3.5.1 Sanktionsavgift ska påföras
IMY har funnit att bolaget har överträtt artikel 6.1 i dataskyddsförordningen genom att
utan rättslig grund bedriva kamerabevakning i bolagets fastighet på Limhamnsvägen
22a i Malmö under perioden 1 november 2022–11 december 2024. Bolaget har vidare
behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att
inte uppfylla kravet på information till de registrerade avseende kamerabevakningen.
IMY konstaterar att personuppgiftsbehandlingen genom kamerabevakning av
privatpersoner i direkt anslutning till deras hem har skett utan rättslig grund. Mot denna
bakgrund bedömer IMY att det inte är fråga om sådana mindre överträdelser som
avses i skäl 148 till dataskyddsförordningen. IMY finner därmed att en sanktionsavgift
inte kan ersättas med en reprimand.
EU-domstolen har klargjort att det krävs att den personuppgiftsansvariga har begått en
överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter
14 EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR (slutligt antagna den 24 maj
2023).
15 EU-domstolens dom Akzo Nobel, C-516/15, EU:C:2017:314, p. 48.
16 EU-domstolens dom Akzo Nobel and Others, C-97/08, EU:C:2009:536, p. 59–61.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 13(16)
Datum: 2024-12-11
ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har härvid uttalat att
personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan
anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de
varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.17
IMY konstaterar att bolaget, i egenskap av personuppgiftsansvarig, ansvarar för den
personuppgiftsbehandling som sker inom bolaget och för att den sker i enlighet med
dataskyddsförordningen genom principen om ansvarsskyldighet i artikel 5.2. IMY har
bedömt att bolaget inte har efterlevt dataskyddsförordningen avseende kraven på
rättslig grund och den information som ska lämnas till registrerade. Mot bakgrund av
EU-domstolens uttalande nämnt ovan och med beaktande av tidigare tillsynsbeslut
från IMY18 och utredningen i ärendet, framgår att bolaget inte kan anses ha varit
okunniga om att agerandet kunde utgöra en överträdelse av dataskyddsförordningen.
IMY anser mot denna bakgrund att bolaget har varit oaktsam i förhållande till de
överträdelser av dataskyddsförordningen som konstaterats. Det finns därmed
förutsättningar för att påföra bolaget en administrativ sanktionsavgift.
3.5.2 Sanktionsavgiftens storlek
IMY konstaterar att Granit Bostad Beritsholm AB enligt senast tillgängliga
koncernstruktur från december 2022 är ett helägt dotterbolag ingående i en koncern
med moderbolaget Granit Bostad AB (559300–4913). I koncernen ingår, utöver Granit
Bostad Beritsholm AB, följande bolag. Granit Bostad 1 AB (559304-5825), Granit
Bostad Bilen AB (556823-6235), Granit Bostad Bredäng AB (556832-5335), Granit
Bostad Forskningen AB (556865-7281), Granit Bostad Sorgenfri AB (556883-2819),
Granit Bostad 2 AB (556995-9330), Granit Bostad Annedal AB (556833-4741), Granit
Bostad Hjorthagskvarteret AB (556832-5285), Granit Bostad Klippern AB (556833-
4782), Granit Bostad Rosendal AB (556917-7164), Granit Bostad 3 AB (556994-5768),
Granit Bostad Bryggvägen AB (556833-4733), Granit Bostad Fyrislundsgatan AB
(556879-2716), Granit Bostad Kommendörkaptenen AB (556823-6367), Granit Bostad
4 AB (559318-0846), Granit Bostad Duvan 4 AB (559317-1282), Granit Bostad Duvan
AB (556807-4214), Granit Bostad Korpen 4 AB (559317-1274), Granit Bostad Korpen
AB (556886-3400), Granit Bostad Lissabon AB (559340-8429), Granit Bostad 5 AB
(559381-9708) och Granit Bostad Malmö 5 AB (559395-2350).19 Moderbolagets
ägande är hundraprocentigt i dotterbolagen som i sin tur innehar ett hundraprocentigt
ägande i sina dotterbolag.
Mot bakgrund av vad som redovisats ovan innebär ett hundraprocentigt eller nästan
hundraprocentigt ägande en presumtion för att kontroll ska anses föreligga och att
moderbolaget och dotterbolagen ska beaktas vid beräkningen.
Bolaget har anfört att uppgifter om koncernstruktur som bolaget ingår i avviker på
följande sätt. Granit Bostad 4 Duvan AB har fusionerats ner i Granit Bostad Duvan AB,
Granit Bostad 4 Korpen AB har fusionerats ner i Granit Bostad Korpen AB och Granit
Bostad Malmö 5 AB har fusionerats ner i Granit Bostad Beritsholm AB. Två bolag har
förvärvats; Granit Bostad Slottstaden AB och Granit Bostad Villandia AB. Bolaget har
vidare anfört att bolaget förvärvade fler fastigheter år 2023 vilket innebar att
nettoomsättningen för 2023 ökade till 274 053 000 kr. Bolagets resultat hade samtidigt
17 EU-domstolens dom Nacionalinis visuomenes sveikatos centras, C-683/21, EU:C:2023:949, punkt 81, och dom
Deutsche Wohnen, C-807/21, EU:C:2023:950, p. 76.
18 Tillsynsbeslut DI-2018-14593, BRF Gårdsbjörken, beslutat den 15 juni 2020, tillsynsbeslut DI-2020-4534,
Uppsalahem AB, beslutat den 14 december 2020 och tillsynsbeslut DI-2021-2172, Bergsporten, beslutat den 18 april
2024 (de två förstnämnda besluten publicerades vid beslutsdatum på IMY:s webbplats där de ännu finns tillgängliga,
Bergsporten har överklagats till förvaltningsrätten och har därmed inte vunnit laga kraft).
19 Koncernstruktur, Bisnode Infotorg per den 10 december 2024.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 14(16)
Datum: 2024-12-11
en kraftig negativ utveckling under året till följd av stigande räntekostnader samt en
värdeminskning på fastighetsbeståndet. Fastighetsvärdet minskade med 360 251 000
kr år 2023 vilket resulterade i ett negativt nettoresultat på minus 318 734 000 kr.
Avseende de ekonomiska förändringarna som skett under året gör IMY följande
bedömning. Enligt dataskyddsförordningens bestämmelse om uträkning av
administrativ sanktionsavgift ska beräkningen göras utifrån den totala globala
årsomsättningen under föregående budgetår.20 Det negativa nettoresultatet år 2023
ska därför inte påverka beräkningen av sanktionsavgiften. IMY finner därmed inte
anledning att bortse från bestämmelsen och sanktionsavgiften ska beräknas utifrån
den totala årsomsättningen.
IMY bedömer att den årsomsättning som ska läggas till grund för beräkning av den
administrativa sanktionsavgiften som Granit Bostad Beritsholm AB kan åläggas är
samtliga ovan redovisade bolag som ingår i koncernen med Granit Bostad AB som
moderbolag. Av årsredovisningar för räkenskapsåret 2023 för bolaget framgår att
omsättningen sammantaget uppgår till 274 053 000 kr. 4 % av det beloppet är
10 962 120 kr. Eftersom detta belopp är lägre än 20 000 000 EUR ska
sanktionsavgiften bestämmas till ett belopp mellan 0 och 20 000 000 EUR.
När det gäller bedömningen av överträdelsernas allvarlighetsgrad finns det till en
början faktorer som medför att det finns skäl att se allvarligare på överträdelserna.
Personuppgiftsbehandlingen har avsett kamerabevakning av boende i direkt
anslutning till deras hem och besökare till boende. Kamerabevakningen har bedrivits
dygnet runt med ett stort antal kameror av stora delar av fastigheten under en längre
tid. Bolaget har bevakat entréer och trapphus i fastigheten vilket har inneburit att de
boende har blivit bevakade varje gång de har rört sig till och från sina hem och det har
inte varit möjligt att undvika att bli kamerabevakad. Att de personer som träffas av
bevakningen inte har fått all den information som bolaget har varit skyldig att
tillhandahålla har vidare inneburit en risk för att registrerade inte fått kännedom om
sina rättigheter eller att de har utövat sina rättigheter i mindre utsträckning än vad de
har rätt till enligt dataskyddsförordningen.
IMY konstaterar samtidigt att bolaget har visat att det förekommit viss problematik med
inbrott i garaget och har haft ett berättigat intresse samt vidtagit andra åtgärder för att
komma tillrätta med detta, vilket innebär att det inte har varit fråga om uppsåtliga
överträdelser. IMY konstaterar även att bevakningen varit begränsad till de boende
och besökare. Bolaget har under tillsynens gång uppdaterat skyltar om
kamerabevakning och deras hemsida med information om kamerabevakning med mer
information än tidigare och har på så sätt försökt vidta rättelse för att uppfylla
informationsplikten.
IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör
sig om överträdelser av låg allvarlighetsgrad. Utgångspunkten för beräkningen av
sanktionsavgiften bör därför sättas lågt i förhållande till det aktuella maxbeloppet.
Utöver bedömningen av överträdelsernas allvar ska IMY bedöma om det föreligger
några försvårande eller förmildrande omständigheter som får betydelse för
sanktionsavgiftens storlek. IMY bedömer att det saknas ytterligare försvårande eller
20 Artikel 83.5 i dataskyddsförordningen.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 15(16)
Datum: 2024-12-11
förmildrande omständigheter, utöver de som har beaktats vid bedömningen av
allvarlighetsgraden ovan, som påverkar sanktionsavgiftens storlek.
Mot bakgrund av överträdelsernas karaktär och allvar bestämmer IMY att den
administrativa sanktionsavgiften för Granit Bostad Beritsholm AB kan stanna vid
200 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och
avskräckande i det nu aktuella fallet.
3.5.3 Föreläggande
Enligt artikel 58.2 d har tillsynsmyndigheten befogenhet att förelägga en
personuppgiftsansvarig att se till att behandlingen sker i enlighet med bestämmelserna
i dataskyddsförordningen och om så krävs på ett specifikt sätt och inom en specifik
period.
Eftersom bevakningen, såvitt framgår av utredningen, fortfarande är pågående är det
angeläget att bolaget upphör med den bevakning som inte är tillåten. Det finns därför
skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga bolaget att
upphöra med kamerabevakning av samtliga platser i fastigheten, undantaget garaget.
Det är enligt IMY också angeläget att bolaget vidtar åtgärder för att säkerställa att de
registrerade får korrekt och fullständig information avseende den
personuppgiftsbehandling genom kamerabevakning som sker. IMY beslutar med stöd
av artikel 58.2 d i dataskyddsförordningen att bolaget ska föreläggas att, senast fyra
veckor efter att detta beslut fått laga kraft, vidta åtgärder för att säkerställa att
1. bolaget upphör med kamerabevakningen av samtliga platser i fastigheten
undantaget garaget,
2. det på kamerabevakningsskyltarna finns uppgifter om bolagets identitet
och kontaktuppgifter till bolaget, i form av mailadress eller telefonnummer.
Att åtgärd ska ha vidtagits senast fyra veckor efter att detta beslut fått laga kraft
innebär att om beslutet inte överklagas ska åtgärd ha vidtagits senast fyra veckor efter
att överklagandetiden har gått ut.
__________________________
Detta beslut har fattats av enhetschefen Jenny Bård efter föredragning av juristen
Khadija Faras.
Jenny Bård
Bilagor
1. Klagandens personuppgifter
2. Information om betalning av sanktionsavgift
3. Information om kamerabevakning i flerbostadshus
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-15373 16(16)
Datum: 2024-12-11
4. Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni
överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY
senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder
det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då
beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till
Förvaltningsrätten i Stockholm för prövning.
Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga
personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens
kontaktuppgifter framgår av beslutets första sida.